Python ライブラリ Werkzeug < 3.1.9 DoS(CVE-2026-102598)

medium Nessus プラグイン ID 371389

Language:

概要

リモート Windows ホストにインストールされている Python ライブラリは、サービス拒否の脆弱性による影響を受けます。

説明

リモートのWindowsホストにインストールされているWerkzeug Pythonパッケージのバージョンは、 3.1.9より前です。したがって、サービス拒否の脆弱性の影響を受けます。

- Werkzeug は WSGI Web アプリケーションライブラリです。3.1.9より前では、send_from_directory で使用される safe_join 関数により、NUL: special-device パスが許可されることがあります。これは、safe_join が空の NTFS ADS マーカーを最初に削除せずに Windows デバイス名をチェックするためです。NTFS を使用して Windows 上で実行し、NUL: などの特殊なデバイス名で終わるユーザー指定のパスを提供するアプリケーションにより、特殊なデバイスが正常に開かれ、ファイル読み取りが無期限にハングアップする可能性があります。
(CVE-2026-102598)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。