AlmaLinux 9.2 [TuxCare] セキュリティ更新:python3.11/python3.11-debug/python3.11-devel/python3.11-idle/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1790238098)

high Nessus プラグイン ID 359892

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1790238098アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- urllib.request モジュールの HTTPPasswordMgr クラスは、そのサブクラス HTTPPasswordMgrWithDefaultRealm および HTTPPasswordMgrWithPriorAuth とともに、保存された認証情報をリクエストされた URL に照合する際に、URL スキームを考慮していませんでした。https:// URLに追加された認証情報は、http:// にわたる同じホストへのリクエストにも使用されるため、クライアントをプレーンなHTTPにリダイレクトまたはダウングレードできる攻撃者が(たとえば、HTTPS-to-HTTPリダイレクトまたはオンパス位置を介して)クリアテキストで認証情報をキャプチャする可能性があります。http:// URL に追加された認証情報も同様に、https:// 経由で送信される可能性があります。認証情報の照合の有効範囲が URL スキームによって設定されるようになりました。スキームを含むURLで登録された認証情報は、同じスキームのリクエストに対してのみ使用されます。必要最低の権限 (example.com や example.com:8080 など) に登録された認証情報は、プロキシ認証を含む既存のコードとの互換性を維持しながら、どのスキームにも一致し続けます。すぐにアップグレードできないユーザーは、たとえば、http:// URL へのリダイレクトをたどらないなどして、認証情報が登録されているホストに対してアプリケーションが平文 http:// リクエストを決して行わないようにすることで、緩和できます。(CVE-2026-15806)

- unicodedata.normalize() は、Canonical Combining Class 値が交互に結合される文字の長時間を含む、特別に細工された Unicode 入力を処理する際、過剰な CPU 時間を消費する可能性があります。これは、すべての正規化フォームに影響します。(CVE-2026-3276)

- 空の名前またはディレクトリのような名前のシンボリックリンクを含む細工されたリンクエントリを使用して、tarfile.data_filterがバイパスされ、意図された抽出ディレクトリの外に後続のアーカイブメンバーがリダイレクトされる可能性があります。これにより、悪意のある tar アーカイブが、抽出プロセスの権限範囲で、tarfile.extractall() に宛先ディレクトリ外のファイルを書き込ませる可能性があります。(CVE-2026-7774)

- CPython 3.13 以前では、tarfile モジュールのデータと tar 抽出フィルターが、シンボリックリンクへのハードリンクを含む細工されたアーカイブに脆弱です。そのようなアーカイブは、抽出を引き起こして、宛先ディレクトリ外のファイルの許可や変更時間を変更したり、抽出されたツリー内でそのファイルのコンテンツを漏洩したりすることがあります。(CVE-2026-82049)

- Lib/ftplib.py の ftpcp() 関数は、 CVE-2021-4189 が修正された際に更新されませんでした。makepasv() にパッチが当てられ、サーバー指定の PASV ホストアドレスが実際のピアアドレス(getpeername()[0])に置き換えられる一方で、ftpcp() は依然として parse227() を直接呼び出し、未加工の攻撃者がコントロール可能な IP アドレスとポートを target.sendport() に渡します。このパッチは CVE-2021-4189に関連しています。(CVE-2026-8328)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。