python-SQLAlchemy用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-7164：order_byパラメーターを介してSQLインジェクションを修正しました（bsc#1124593）。

  - CVE-2019-7548：group_byパラメーターを介してSQLインジェクションを修正しました（bsc#1124593）。

この更新はSUSEからインポートされました：SLE-15-SP1：更新プロジェクトを更新します。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - SQLAlchemy through 1.2.17 and 1.3.x through 1.3.0b2 allows SQL Injection via the order_by parameter.
    (CVE-2019-7164)

Note that Nessus relies on the presence of the package as reported by the vendor.

This update for python-SQLAlchemy fixes the following issues :

Security issues fixed :

CVE-2019-7164: Fixed SQL Injection via the order_by parameter (bsc#1124593).

CVE-2019-7548: Fixed SQL Injection via the group_by parameter (bsc#1124593).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 8ccff771-ceca-43a0-85ad-3e595e73b425 advisory.

  - SQLAlchemy through 1.2.17 and 1.3.x through 1.3.0b2 allows SQL Injection via the order_by parameter.
    (CVE-2019-7164)

  - SQLAlchemy 1.2.17 has SQL Injection when the group_by parameter can be controlled. (CVE-2019-7548)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Rocky Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RLSA-2019:0984 advisory.

  - SQLAlchemy through 1.2.17 and 1.3.x through 1.3.0b2 allows SQL Injection via the order_by parameter.
    (CVE-2019-7164)

  - SQLAlchemy 1.2.17 has SQL Injection when the group_by parameter can be controlled. (CVE-2019-7548)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

在 SQLALchemy (是一種 Python SQL 工具組和物件關聯對應器) 中發現了兩個弱點。CVE-2019-7164 SQLAlchemy 可透過 order_by 參數允許 SQL 插入。CVE-2019-7548 當可控制 group_by 參數時，SQLAlchemy 會發生 SQL 插入。SQLAlchemy 專案警告，這些安全性修正破壞了很少使用的文字強制型轉功能。針對 Debian 8「Jessie」，這些問題已在 0.9.8+dfsg-0.1+deb8u1 版本中修正。建議您升級 sqlalchemy 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 8 的 python27:2.7 模組更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Python 是經過解譯的互動式物件導向程式設計語言，支援模組、類別、例外狀況、高階的動態資料類型，以及動態輸入。SQLAlchemy 是一種物件關係映射器 (ORM)，可提供存取 SQL 資料庫的彈性化高階介面。安全性修正：* python：urlsplit 不當 NFKC 正規化所造成的資訊洩漏 (CVE-2019-9636) * python-sqlalchemy：當可以控制 order_by 參數時，發生 SQL 插入 (CVE-2019-7164) * python-sqlalchemy：當可以控制 order_by 參數時，發生 SQL 插入 (CVE-2019-7548) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

來自 Red Hat 安全性公告 2019:0981： 現已提供適用於 Red Hat Enterprise Linux 8 的 python27:2.7 模組更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Python 是經過解譯的互動式物件導向程式設計語言，支援模組、類別、例外狀況、高階的動態資料類型，以及動態輸入。 SQLAlchemy 是一種物件關係映射器 (ORM)，可提供存取 SQL 資料庫的彈性化高階介面。 安全性修正： * python：由於 urlsplit 不當 NFKC 正規化導致資訊洩露 (CVE-2019-9636) * python-sqlalchemy：可以控制 order_by 參數時的 SQL 插入 (CVE-2019-7164) * python-sqlalchemy：可以控制 group_by 參數時的 SQL 插入 (CVE-2019-7548) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

來自 Red Hat 安全性公告 2019:0984： 現已提供適用於 Red Hat Enterprise Linux 8 的 python36:3.6 模組更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Python 是經過解譯的互動式物件導向程式設計語言，包括模組、類別、例外狀況、非常高階的動態資料類型，以及動態輸入。Python 支援許多系統呼叫和程式庫的介面，以及多種 Window 系統的介面。 SQLAlchemy 是一種物件關係映射器 (ORM)，可提供存取 SQL 資料庫的彈性化高階介面。 安全性修正： * python-sqlalchemy：可以控制 order_by 參數時的 SQL 插入 (CVE-2019-7164) * python-sqlalchemy：可以控制 group_by 參數時的 SQL 插入 (CVE-2019-7548) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128519	openSUSEセキュリティ更新プログラム：python-SQLAlchemy（openSUSE-2019-2064）	Nessus	SuSE Local Security Checks	2019/9/5	2024/4/29	critical
223130	Linux Distros Unpatched Vulnerability : CVE-2019-7164	Nessus	Misc.	2025/3/4	2025/9/15	critical
129096	SUSE SLED15 / SLES15 Security Update : python-SQLAlchemy (SUSE-SU-2019:2253-2)	Nessus	SuSE Local Security Checks	2019/9/20	2024/4/24	critical
174289	FreeBSD : py39-sqlalchemy11 -- multiple SQL Injection vulnerabilities (8ccff771-ceca-43a0-85ad-3e595e73b425)	Nessus	FreeBSD Local Security Checks	2023/4/14	2023/4/19	critical
184542	Rocky Linux 8 : python36:3.6 (RLSA-2019:0984)	Nessus	Rocky Linux Local Security Checks	2023/11/6	2023/11/7	critical
122930	Debian DLA-1718-1：sqlalchemy 安全性更新	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	critical
124668	RHEL 8：python27:2.7 (RHSA-2019:0981)	Nessus	Red Hat Local Security Checks	2019/5/7	2024/11/6	critical
127571	Oracle Linux 8 : python27:2.7 (ELSA-2019-0981)	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical
127573	Oracle Linux 8 : python36:3.6 (ELSA-2019-0984)	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical