Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - virtualenv は、独立した仮想 Python 環境を作成するためのツールです。21.14.9より前では、PipInvoke.get_pip_install_cmd()はget_wheel(download=False)を呼び出してから、virtualenv の download_wheel() と verify_wheel_digest() のパスをバイパスして、pip が構成されたインデックスを参照できるようにすることで、--seederpip --downloadを処理します。したがって、virtualenv のデフォルトインデックスの PyPI ダイジェスト比較が有効なままの場合、PyPI SHA-256 メタデータと比較せずに、バンドルされたパッケージとバージョンに一致するインデックス候補を選択できます。明示的なカスタムインデックス設定は、すでにその比較をオプトアウトしており、この検証バイパスの主張の外のままです。実証された構成では、インデックス環境変数を未設定のままにして、比較ポリシーがアクティブのままのままに、PyPI 以外のインデックスを使用していました。この状態は、個別に TLS を打ち負かしたり、インデックス応答のコントロールを確立したりすることはありません。この問題はバージョン 21.14.9 で修正されています。(CVE-2026-113717)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-113717

low Nessus プラグイン ID 371045

バージョン 1.2