Debian DLA-4827:idle-python3.11 - セキュリティ更新
critical Nessus プラグイン ID 364182
Language:
概要
リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。説明
リモートのDebian 12ホストには、dla-4827アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4827-1 [email protected] https://www.debian.org/lts/security/Andrej Shadura 2026年10月8日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
パッケージ:python3.11 バージョン:3.11.2-6+deb12u9 CVE ID: CVE-2025-69534 CVE-2026-1502 CVE-2026-3276 CVE-2026-6019 CVE-2026-8328 CVE-2026-9669 CVE-2026-15308 CVE-2026-15310 CVE-2026-15806 CVE-2026-17084 CVE-2026-18503 CVE-2026-19445 CVE-2026-19553 Debian バグ:1131896
Python 3.11の複数の脆弱性。
CVE-2025-69534
無効な形式のマークアップ宣言により、html.parser.HTMLParser が処理されていない AssertionError を引き起こす可能性があります。信頼できない入力をレンダリングするPython-Markdownなど、信頼できないHTMLを解析するアプリケーションがクラッシュし、サービス拒否を引き起こす可能性があります。
CVE-2026-1502
http.client がプロキシトンネルホストまたはトンネルリクエストヘッダーの CR/LF バイトを拒否しませんでした。これにより、HTTP ヘッダーインジェクションが引き起こされる可能性があります。
CVE-2026-3276
unicodedata.normalize() は、交互の正規結合クラス値を持つ長時間の結合文字を含む、特別に細工された Unicode 入力を処理する際、過剰な CPU 時間を消費する可能性があります。これは、すべての正規化フォームに影響を与えていました。
CVE-2026-6019
http.cookies.Morsel.js_output() がインラインの <script> スニペットを返しました。このインラインののスニペットでは、クッキーの値が JavaScript 文字列のコンテキストに対してのみエスケープされ、 </script> シーケンスが中立化されませんでした。そのため、攻撃者がコントロールするクッキーの値がページにマークアップを注入する可能性があります。
CVE-2026-8328
ftplib.ftpcp() は、 CVE-2021-4189 が修正されても更新されず、PASV に対するソースサーバーから返されたアドレスをターゲットサーバーに渡したままです。悪意のある送信元 FTP サーバーがこれを利用して、ターゲットサーバーのデータ接続を任意のホストおよびポートに向ける可能性があります。
CVE-2026-9669
bz2 です。BZ2Decompressor オブジェクトが展開エラーの後に再利用される可能性があります。アプリケーションが結果の OSError をキャッチし、同じデコンプレッサーで再試行した場合、細工された入力がスタックバッファへの領域外書き込みを引き起こし、プロセスをクラッシュさせる可能性があります。
CVE-2026-15308
タグやコメントなどの終端のない長い構造を html.parser.HTMLParser に増分的にフィードすると 2 次時間がかかり、CPU 消耗によるサービス拒否が可能になります。
CVE-2026-15310
細工された zip ファイルを bzip2 または LZMA 圧縮を使用して展開する場合、zipfile が攻撃者が制御するサイズを使用して、メモリを事前に割り当てる可能性があります。これにより、メモリが枯渇する可能性があります。
CVE-2026-15806
urllib.request.HTTPPasswordMgr とそのサブクラスは、保存された認証情報の照合時に URL スキームを考慮していませんでした。
https:// URL に追加された認証情報も http:// 経由で同じホストに送信されるため、クライアントを平文HTTPにリダイレクトまたはダウングレードできる攻撃者が、それらを平文でキャプチャする可能性があります。
CVE-2026-17084
stringprep モジュールは、テーブル B.2 および B.3 をチェックする際に、RFC 3454 の要件に従って、Unicode 3.2.0の属性ではなく、現在の Unicode コードポイント属性を使用しました。これにより、ドメイン名を IDNA 2003(idna)コーデックで処理する際に不一致が発生する可能性があります。
CVE-2026-18503
攻撃者がコントロールする CSV サンプルにより、csv の超線形正規表現マッチングがトリガされることがあります。過剰な CPU 時間を消費する Sniffer.sniff()。
CVE-2026-19445
サーバーのsni_callbackが SSLSocket.context に別のコンテキストを割り当て、他に何も元の ssl を保持していない場合、認証されていないリモートの TLS クライアントがサーバーをクラッシュさせたり、解放されたポインターを介して呼び出したりする可能性があります。SSLContext が有効です。
CVE-2026-19553
SSL。SSLContext.wrap_bio() は、check_hostname が有効な場合、server_hostname 引数を必要としないため、ホスト名の検証はサイレントにスキップできました。asyncio の create_connection() および loop.start_tls() も影響を受けていました。互換性のため、この場合、Python 3.11 は ValueError を発生させるのではなく DeprecationWarning を発行するようになりました。そのため、アプリケーションは引き続き有効なserver_hostnameを渡す必要があります。
Debian 12 ブックワームでは、これらの問題はバージョン 3.11.2-6+deb12u9 で修正されました。
さらに、この更新には、次の関連する Upstream 修正が含まれています:
* csv。Sniffer.sniff() が二重引用符の検出中に、多数の引用符文字があるサンプルで指数関数的な時間を必要とする可能性があります(gh-109638)。
* 繰り返されるサブパターンにバックトラッキングが含まれている場合に、所有格修飾子のある正規表現が間違った一致を与える可能性があります(gh-100061、gh-106052)。
* html.parser.HTMLParser が HTML5 標準に従って開始タグと終了タグを解析せず、スクリプトタグまたはスタイルタグが閉じられなかった後にデータが失われる可能性がありました(gh-135661、gh-86155)。修正の結果、一部の不正な形式のマークアップの解析方法が異なります。たとえば、 </ script> はスクリプト要素を終了しなくなりました。
お使いの python3.11 パッケージをアップグレードすることを推奨します。
python3.11 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
https://security-tracker.debian.org/tracker/python3.11
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS
前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
idle-python3.11 パッケージをアップグレードしてください。参考資料
https://packages.debian.org/source/bookworm/python3.11
https://security-tracker.debian.org/tracker/CVE-2021-4189
https://security-tracker.debian.org/tracker/CVE-2025-69534
https://security-tracker.debian.org/tracker/CVE-2026-1502
https://security-tracker.debian.org/tracker/CVE-2026-15308
https://security-tracker.debian.org/tracker/CVE-2026-15310
https://security-tracker.debian.org/tracker/CVE-2026-15806
https://security-tracker.debian.org/tracker/CVE-2026-17084
https://security-tracker.debian.org/tracker/CVE-2026-18503
https://security-tracker.debian.org/tracker/CVE-2026-19445
https://security-tracker.debian.org/tracker/CVE-2026-19553
https://security-tracker.debian.org/tracker/CVE-2026-3276
https://security-tracker.debian.org/tracker/CVE-2026-6019
https://security-tracker.debian.org/tracker/CVE-2026-8328
https://security-tracker.debian.org/tracker/CVE-2026-9669
https://security-tracker.debian.org/tracker/source-package/python3.11
プラグインの詳細
深刻度: Critical
ID: 364182
ファイル名: debian_DLA-4827.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2026/10/8
更新日: 2026/10/8
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.3
パーセンタイル: 96.3
CVSS v2
リスクファクター: Medium
基本値: 6.4
現状値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS スコアのソース: CVE-2026-6019
CVSS v3
リスクファクター: Medium
基本値: 6.1
現状値: 5.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Critical
Base Score: 9.2
Threat Score: 8.1
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-19445
脆弱性情報
CPE: cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:idle-python3.11, p-cpe:/a:debian:debian_linux:libpython3.11-dbg, p-cpe:/a:debian:debian_linux:libpython3.11-dev, p-cpe:/a:debian:debian_linux:libpython3.11-minimal, p-cpe:/a:debian:debian_linux:libpython3.11-stdlib, p-cpe:/a:debian:debian_linux:libpython3.11-testsuite, p-cpe:/a:debian:debian_linux:libpython3.11, p-cpe:/a:debian:debian_linux:python3.11-dbg, p-cpe:/a:debian:debian_linux:python3.11-dev, p-cpe:/a:debian:debian_linux:python3.11-doc, p-cpe:/a:debian:debian_linux:python3.11-examples, p-cpe:/a:debian:debian_linux:python3.11-full, p-cpe:/a:debian:debian_linux:python3.11-minimal, p-cpe:/a:debian:debian_linux:python3.11-nopie, p-cpe:/a:debian:debian_linux:python3.11-venv, p-cpe:/a:debian:debian_linux:python3.11
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/10/8
脆弱性公開日: 2021/8/24
参照情報
CVE: CVE-2021-4189, CVE-2025-69534, CVE-2026-1502, CVE-2026-15308, CVE-2026-15310, CVE-2026-15806, CVE-2026-17084, CVE-2026-18503, CVE-2026-19445, CVE-2026-19553, CVE-2026-3276, CVE-2026-6019, CVE-2026-8328, CVE-2026-9669