更新済みの python3 パッケージでは、次のセキュリティの脆弱性が修正されています：

ZipExtFile.read は、悪意のあるバイナリの編集済み zip で、無限ループにより CPU を 100% にします（CVE-2013-7338）。

sock_recvfrom_into() 関数内の境界エラーにより Python のソケットモジュールに脆弱性があることが報告されました。これが悪用され、バッファオーバーフローが引き起こされる可能性があります。これを利用することにより、 socket.recvfrom_info() 関数を使用している Python アプリケーションをクラッシュさせたり、脆弱な Python コードを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります（CVE-2014-1912）。

Python 3.2 に追加されたパッチは、競合状態を引き起こすことが報告されました。この場合、プロセスの元の umask によって指示された権限の代わりに、すべてのユーザーが読み書きできる権限でファイルが作成される可能性があります。これにより、ローカルの攻撃者が、この呼び出しを使用しているプログラムにより作成されたファイルを参照および編集するために、競合に勝つ可能性があります。注意：Python の2.x を含む前のバージョンは、exist_ok が True に設定された際に os.makedirs() に使用される _get_masked_mode() 関数の脆弱性を含みません（CVE-2014-2667）。

Python は、不充分な境界チェックによって起こる _json モジュールのバグのために、ユーザーまたは敵対者による任意のプロセスメモリ読み取りに影響を受けやすくなっています。このバグは、配列インデックスで使用する負の値をユーザーが供給できるようにすることで発生します。これにより、scanString 関数をクラッシュさせ、アクセスすることを意図した文字列外のプロセスメモリにアクセスします（CVE-2014-4616）。

CGIHTTPServer Python モジュールが、URL の URL エンコード済みパスセパレータを、適切に処理しません。これにより、攻撃者が CGI スクリプトのソースコードを漏洩させたり、サーバーのドキュメントルートで任意のコードを実行したりする可能性があります（CVE-2014-4650）。

検出

Mandriva Linux セキュリティアドバイザリ：python3（MDVSA-2015:076）

high Nessus プラグイン ID 82329

変更ログが見つかりません