AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:python-unversioned-command/python3/python3-debug/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1793346939)

critical Nessus プラグイン ID 374212

Language:

概要

AlmaLinux ホストに 1 つ以上のセキュリティ更新がありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1793346939アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- tarfile.tar_filter は、空の名前またはディレクトリのような名前のシンボリックリンクを含む細工されたリンクエントリを使用してバイパスされ、意図された抽出ディレクトリの外に後続のアーカイブメンバーをリダイレクトされる可能性があります。これにより、悪意のある tar アーカイブが、filter=tar で tarfile.extractall() に、抽出プロセスの権限にしたがって宛先ディレクトリ外にファイルを書き込ませることが可能でした。これは、tarfile.data_filterをカバーした CVE-2026-7774 の tarfile.tar_filter に相当します。(CVE-2026-114583)

- Python は、証明書失効が構成されていなくてもユーザーの安全を確保するために、既知の危険にさらされている証明書の拒否リストを ssl モジュールに追加しました。SSLContext ポリシーの構成に関わらず、既知のセキュリティを危険にさらしている証明書は自動的に拒否されます。(CVE-2026-115557)

- Tarfile.extract() 関数で、ハードリンクを抽出する際に、フィルターパラメーターが適切に渡されていません。
影響を受けるシステムが信頼できない tar ファイルからコンテンツを抽出すると、ユーザーが filter='data' を extract() 関数に渡しても、予期しない uid/gid でファイルが書き込まれる可能性があります。(CVE-2026-4360)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。