2023 Amazon Linux:python3.13-virtualenv(ALAS2023-2026-3296)

high Nessus プラグイン ID 371896

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-3296 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

virtualenv は、独立した仮想 Python 環境を作成するためのツールです。21.7.12より前では、download_wheel()は、埋め込まれたホイールのBUNDLE_SHA256検証と同等の権威ダイジェストに対してバイトをチェックせずに、定期的な更新または--downloadオプションのためにフェッチされたpipおよびsetuptoolsシードホイールを受け入れます。侵害されたインデックス、古いミラー、または傍受された TLS 接続により、リクエストされたディストリビューション、バージョン、ファイル名の異なるホイールが置き換えられる可能性があります。その後、virtualenv が攻撃者の制御するホイールをキャッシュし、その後に作成される環境にシードします。検証はデフォルトの PyPI パスに適用され、PIP_INDEX_URL、PIP_EXTRA_INDEX_URL、または PIP_INDEX が、再構築されたホイールを正当に公開する可能性があるカスタムインデックスを構成するときに、意図的にスキップされます。この問題はバージョン 21.7.12 で修正されています。
(CVE-2026-102930)

virtualenv は、独立した仮想 Python 環境を作成するためのツールです。21.7.11より前に、PyEnvCfg.write()はプロンプト値を行指向のpyvenv.cfg形式に逐語的に書き込みますが、PyEnvCfg._read_values()はstr.splitlines()でファイルを解析し、重複キーの最後の値を受け入れます。に影響を与える攻撃者
--prompt、VIRTUALENV_PROMPT、または構成入力が、認識された行境界とホームなどの追加キーを挿入する可能性があります。これにより、コンシューマーが攻撃者が選択した基本インタープリターまたは破損した環境メタデータを使用することになります。セキュリティへの影響には、オペレーターの信頼境界の外からの迅速な入力が必要です。直接提供されるプロンプトコンテンツは、主にオペレーター自身の環境を破損します。この問題はバージョン 21.7.11 で修正されています。(CVE-2026-102938)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python3.13-virtualenv --releasever 2023.12.20261026」または「dnf update --advisory ALAS2023-2026-3296 --releasever 2023.12.20261026」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3296.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-102930.html

https://explore.alas.aws.amazon.com/CVE-2026-102938.html

プラグインの詳細

深刻度: High

ID: 371896

ファイル名: al2023_ALAS2023-2026-3296.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

ファミリー: Amazon Linux Local Security Checks

公開日: 2026/10/25

更新日: 2026/10/25

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus