更新 python パッケージは、セキュリティの脆弱性を修正します。

sock_recvfrom_into() 関数内の境界エラーにより Python のソケットモジュールに脆弱性があることが報告されました。これが悪用され、バッファオーバーフローが引き起こされる可能性があります。これを利用することにより、 socket.recvfrom_info() 関数を使用している Python アプリケーションをクラッシュさせたり、脆弱な Python コードを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります（CVE-2014-1912）。

これは、python パッケージをバージョン 2.7.6 に更新し、ftplib および nntplib モジュールの境界のない readline() 呼び出しによるサービス拒否の欠陥を含めて、その他の複数のバグを修正します（CVE-2013-1752）。

imaplib、poplib、smtplib のモジュールでの、バインドされてない readline() 呼び出しによる、サービス拒否欠陥（CVE-2013-1752）。

python XMLRPC ライブラリでの、gzip 爆弾およびバインドされてない読み取りのサービス拒否欠陥（CVE-2013-1753）。

Python は、不充分な境界チェックによって起こる _json モジュールのバグのために、ユーザーまたは敵対者による任意のプロセスメモリ読み取りに影響を受けやすくなっています。このバグは、配列インデックスで使用する負の値をユーザーが供給できるようにすることで発生します。これにより、scanString 関数をクラッシュさせ、アクセスすることを意図した文字列外のプロセスメモリにアクセスします（CVE-2014-4616）。

CGIHTTPServer Python モジュールが、URL の URL エンコード済みパスセパレータを、適切に処理しません。これにより、攻撃者が CGI スクリプトのソースコードを漏洩させたり、サーバーのドキュメントルートで任意のコードを実行したりする可能性があります（CVE-2014-4650）。

2.7.8 以前の Python は、バッファタイプの整数オーバーフローに対して脆弱です（CVE-2014-7185）。

Python の標準ライブラリの HTTP クライアント（httplib、urllib、urllib2、xmlrpclib）が HTTPS を使用してリソースにアクセスするために使用されるとき、デフォルトでは、証明書は何らトラストストアでチェックされず、証明書のホスト名もリクエストされたホストに対してチェックされません。トラストルートでチェックするように構成することはできましたが、ホスト名チェックの機能はありませんでした（CVE-2014-9365）。

ビルド依存性が消失していたために、python-pip および tix パッケージが追加されました。

検出

Mandriva Linux セキュリティアドバイザリ：python（MDVSA-2015:075）

high Nessus プラグイン ID 82328

変更ログが見つかりません