したがって、ALAS2023-2026-3229 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    細工された zip ファイルを bzip/LZMA/Zstandard を使用して展開する場合

    攻撃者が制御するサイズを使用して、Python が

    メモリを事前に割り当てることを発見しました。これにより、メモリ枯渇が発生する可能性があります。(CVE-2026-15310)

    urllib.request モジュールの HTTPPasswordMgr クラスは、そのサブクラス HTTPPasswordMgrWithDefaultRealm および HTTPPasswordMgrWithPriorAuth とともに、保存された認証情報をリクエストされた URL に照合する際に、URL スキームを考慮していませんでした。https:// URLに追加された認証情報は、http:// にわたる同じホストへのリクエストにも使用されるため、クライアントをプレーンなHTTPにリダイレクトまたはダウングレードできる攻撃者が(たとえば、HTTPS-to-HTTPリダイレクトまたはオンパス位置を介して)クリアテキストで認証情報をキャプチャする可能性があります。http:// URL に追加された認証情報も同様に、https:// 経由で送信される可能性があります。

    認証情報の照合の有効範囲が URL スキームによって設定されるようになりました。スキームを含むURLで登録された認証情報は、同じスキームのリクエストに対してのみ使用されます。必要最低の権限 (example.com や example.com:8080 など) に登録された認証情報は、プロキシ認証を含む既存のコードとの互換性を維持しながら、どのスキームにも一致し続けます。

    すぐにアップグレードできないユーザーは、たとえば、http:// URL へのリダイレクトをたどらないなどして、認証情報が登録されているホストに対してアプリケーションが平文 http:// リクエストを決して行わないようにすることで、緩和できます。(CVE-2026-15806)

    stringprep モジュールは、RFC 3454 テーブル B.2 または B.3 からの文字を正しく処理しませんでした。指定された Unicode 3.2.0の代わりに、最新の Unicode コードポイント属性が使用されました。この動作により、IDNA 2003(idnacodec)と stringprep モジュールの in_table_b2() 関数を使用してドメイン名を処理するときに、不一致が発生します。これは、以前に登録されていなかった文字を含むドメイン名、または Unicode 3.2.0以降に大文字小文字折りたたみ動作などの Unicode 属性が更新されたドメイン名にのみ影響を与えます。(CVE-2026-17084)

    リモートの認証されていない TLS クライアントが、そのsni_callbackが SSLSocket.context に異なるコンテキストを割り当て(サーバー名ごとに証明書を選択するための文書化された方法)、他に何も元の SSL を保持しない場合、サーバーをクラッシュさせたり、解放されたポインターをコールスルーしたりする可能性があります。SSLContext が有効です。典型的なケースは、接続ごとにSSLContextを作成したり、接続が開いている間にSSLContextを置き換えたりするサーバーです。リスニングソケットをそれでラップしているサーバーは影響を受けません。

    緩和:サーバーの有効期間にsni_callbackを設定するすべての SSLContext への参照を維持します。TLS クライアントは影響を受けません。(CVE-2026-19445)

    SSL。SSLContext.wrap_bio() は、SSL の場合、server_hostname 引数を「なし」にする必要はなくなっていました。SSLContext.check_hostnameが設定されていました。SSLObject にパラメーターチェックがないため、server_hostname 引数が指定されない場合、ホスト名の検証がサイレントにスキップされます。

    この不具合によりプログラムで、証明書ホスト名の検証が成功しているように見えた*とSSLContext.check_hostname = True、および構成ミスにより noValueError が呼び出される可能性があります。

    プログラムが空の文字列でも None でもないserver_hostname値をこれらの API のいずれかに渡した場合、証明書ホスト名の検証は期待どおりに処理され、プログラムはこの脆弱性の影響を受けません。

    この脆弱性を緩和するために、Python を更新したりパッチを適用したりする必要はありません。緩和するには、有効な非 None および non-emptyserver_hostname 値を SSLContext.wrap_bio()、asyncio.create_connection() または asyncio.loop.start_tls() に渡すと、証明書ホスト名の検証は期待通りに続行されます。Python の最新バージョンへのアップグレードまたはパッチの適用によって、動作が変更されるのは、server_hostnameisn指定されていない場合のみ、ホスト名の検証を警告なしでスキップし、SSLContext.wrap_socket() と同様に aValueError を発生させるようになります。(CVE-2026-19553)

    tarfile モジュールの tar フィルターと dataextraction フィルターは、名前が宛先を離れて宛先に戻るメンバーの宛先外にディレクトリを作成しました (例:/evil/../dest/sub/file 格納チェックで解決済みパスが使用されましたが、中間ディレクトリは与えられた名前から作成されました。

    空のディレクトリのみが宛先の外部に作成されます。メンバーの内容は、その中でまだ抽出されます。
    宛先に戻るには、メンバーの名前に宛先ディレクトリ独自の final コンポーネントが含まれている必要があるため、セキュアでランダムにされたディレクトリへの抽出は影響を受けません。

    この影響を受けるのはPOSIXプラットフォームのみです。Windowsでは、..コンポーネントはパスがファイルシステムに到達する前に折りたたまれるため、コピー先の外側のディレクトリは作成されません。(CVE-2026-19672)

    CPython 3.13 以前では、tarfile モジュールのデータおよび tar 抽出フィルターが、シンボリックリンクへのハードリンクを含む細工されたアーカイブに脆弱です。そのようなアーカイブは、抽出を引き起こして、宛先ディレクトリ外のファイルの許可や変更時間を変更したり、抽出されたツリー内でそのファイルのコンテンツを漏洩したりすることがあります。(CVE-2026-82049)

    tarfile がリンクをサポートしていないシステム上のリンクを抽出するとき、フォールバックしてアーカイブからメンバーを抽出します。この場合、フィルター関数は 2 回実行されます。抽出されたメンバーに対して 1 回、リンクの場所に名前を設定して 1 回実行します。いずれかの呼び出しでは、戻り値が無視されました。代わりに、いずれかの呼び出しが None を返す場合は、メンバーをスキップする必要があります。(CVE-2026-87910)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

2023 Amazon Linux:python3.13、python3.13-devel、python3.13-freethreading(ALAS2023-2026-3229)

critical Nessus プラグイン ID 371824

バージョン 1.1