CentOS Linux 8 [TuxCare] セキュリティ更新:platform-python/platform-python-debug/platform-python-devel/etc 複数の脆弱性(CENTOS-STREAM8:CLSA-2026:1773222843)

medium Nessus プラグイン ID 360340

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8ホストには、TuxCare CENTOS-STREAM8:CLSA-2026:1773222843アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- CPython に影響を与える、深刻度中の脆弱性があります。tarfile.TarFile ヘッダーの解析中に過剰なバックトラッキングを可能にする正規表現は、特別に細工された tar アーカイブを介した ReDoS に対して脆弱です。(CVE-2024-6232)

- CPythonの「venv」モジュールおよび CLI で、仮想環境を作成する際に提供されるパス名が適切に引用符で囲まれず、作成者が仮想環境アクティベーションスクリプト(ソース:venv/bin/activate)にコマンドを注入する可能性がある脆弱性が見つかりました。これは、仮想環境がアクティブ化されると、攻撃者が制御する仮想環境がコマンドを実行できることを意味します。
攻撃者によって作成されたものではない、または使用される前にアクティブ化されていない仮想環境 (例: /venv/bin/python) は影響を受けません。(CVE-2024-9287)

- imaplib モジュールは、ユーザーコントロールコマンドが受け渡されると、改行を使用した追加コマンドの注入を持つことができます。緩和策は、制御文字を含むコマンドを拒否します。(CVE-2025-15366)

- メールモジュール、特に BytesGenerator クラスは、メールメッセージをシリアル化する際に、メールヘッダーの改行を適切に引用せず、メールがシリアル化される際にヘッダーインジェクションを引き起こす可能性があります。これは、メールの折り畳みルールを順守しない LiteralHeader がヘッダーを書き込む場合のみ適用されます。新しい挙動は、BytesGenerator で不適切に折りたたまれたヘッダーを拒否します。(CVE-2026-1299)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。