Oracle Solaris サードパーティのパッチの更新：jinja2（multiple_vulnerabilities_in_jinja2）

medium Nessus プラグイン ID 80649

Language:

概要

リモートの Solaris システムに、サードパーティのソフトウェアに対するセキュリティのパッチがありません。

説明

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- Jinja2 2.7.2 の FileSystemBytecodeCache は、一時ディレクトリを適切に作成しません。これにより、ローカルユーザーがユーザーの uid を利用して一時ディレクトリを事前に作成することで権限を取得する可能性があります。注：この脆弱性は、 CVE-2014-1402 の修正が不完全なために存在します。(CVE-2014-0012)

- 2.7.2 より前の Jinja2 の bccache.FileSystemBytecodeCache 用デフォルト構成は、一時ディレクトリを適切に作成しません。これにより、ローカルユーザーが /tmp の __jinja2_ から始まる細工された .cache ファイルを介して権限を取得する可能性があります。
(CVE-2014-1402)