CentOS Linux 7 [TuxCare] セキュリティ更新プログラム:python-jinja2(CENTOS7:CLSA-2025:1765310613)

medium Nessus プラグイン ID 360264

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 7ホストには、TuxCare CENTOS7:CLSA-2025:1765310613アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Jinja は、拡張可能なテンプレートエンジンです。3.1.5 より前、Jinja サンドボックス環境で str.format への呼び出しを検出する方法を見落とすと、テンプレートのコンテンツを制御する攻撃者が、任意の Python コードを実行する可能性があります。この脆弱性を悪用するには、攻撃者はテンプレートのコンテンツを制御する必要があります。そのようになるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼できないテンプレートを実行するアプリケーションのユーザーに影響を与えます。Jinja のサンドボックスは str.format への呼び出しをキャッチし、サンドボックスをエスケープしないようにします。ただし、悪質な文字列の書式メソッドへの参照を保存し、それを呼び出すフィルターにそれを渡すことは可能です。Jinja にはそのようなフィルターは組み込まれていませんが、アプリケーションのカスタムフィルターを通じて存在できる可能性があります。修正後は、こうした間接呼び出しもサンドボックスで処理するようになります。この脆弱性は 3.1.5 で修正されました。(CVE-2024-56326)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。