リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 4433のアドバイザリに記載されている脆弱性の影響を受けます。

  - python：server_titleフィールドのドキュメントXML-RPCサーバーのXSS脆弱性（CVE-2019-16935）

  - python：細工されたTARアーカイブによるtarfileモジュールの無限ループ（CVE-2019-20907）

  - python: IPv{4,6}Interfaceクラスの非効率性によるDoS（CVE-2020-14422）

  - python：urllib.request.AbstractBasicAuthHandlerの誤ったバックトラックにより、ReDoSが発生する可能性があります（CVE-2020-8492）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 4641のアドバイザリに記載されている脆弱性の影響を受けます。

  - PyYAML: FullLoaderのpython/object/applyコンストラクターを介したコマンド実行（CVE-2019-20477）

  - python：細工されたTARアーカイブによるtarfileモジュールの無限ループ（CVE-2019-20907）

  - python: IPv{4,6}Interfaceクラスの非効率性によるDoS（CVE-2020-14422）

  - PyYAML: FullLoader使用時のpython/object/newを介した任意のコマンド実行（CVE-2020-1747）

  - python：urllib.request.AbstractBasicAuthHandlerの誤ったバックトラックにより、ReDoSが発生する可能性があります（CVE-2020-8492）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このpython3用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題：

CVE-2019-20907: 特別に細工されたtarballで発生する可能性がある無限ループを回避して、サービス拒否を修正しました（bsc#1174091）。

CVE-2020-14422: IPv4InterfaceおよびIPv6Interfaceにおける、サービス拒否を引き起こす可能性がある不適切なハッシュ値の計算を修正しました（bsc#1173274）。

CVE-2019-16935: python/Lib/DocXMLRPCServer.pyでの折り返し型 XSSを修正しました（bsc#1153238）。

CVE-2019-9947: 攻撃者がurlパラメーターをコントロールする場合にCRLFインジェクションを可能にするurllib2の問題を修正しました（bsc#1130840）。

ロケールが「C」の場合は、C.UTF-8に強制します（bsc#1162423）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 4433のアドバイザリに記載されている脆弱性の影響を受けます。

  - python：server_titleフィールドのドキュメントXML-RPCサーバーのXSS脆弱性（CVE-2019-16935）

  - python：細工されたTARアーカイブによるtarfileモジュールの無限ループ（CVE-2019-20907）

  - python: IPv{4,6}Interfaceクラスの非効率性によるDoS（CVE-2020-14422）

  - python：urllib.request.AbstractBasicAuthHandlerの誤ったバックトラックにより、ReDoSが発生する可能性があります（CVE-2020-8492）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのAlmaLinux 8ホストには、ALSA-2020:4433アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.7.16 まで、3.6.9 ～ 3.x、および 3.7.x ～ 3.7.4 の Python のドキュメント XML-RPC サーバーに、server_title フィールドを使用した XSS の問題があります。これは、Python 2.x では Lib/DocXMLRPCServer.py、Python 3.x では Lib/xmlrpc/server.py で発生します。set_server_title が信頼できない入力で呼び出されると、このサーバーの http URL にアクセスするクライアントに任意の JavaScript が配信される可能性があります。(CVE-2019-16935)

  - 3.8.3 以前の Python の Lib/tarfile.py では _proc_pax がヘッダー検証を欠いているため、攻撃者は、tarfile.open によって開かれた無限ループにつながる TAR アーカイブを作ることができます。(CVE-2019-20907)

  - Python の 2.7 ～ 2.7.17、3.5 ～ 3.5.9、3.6 ～ 3.6.10、3.7 ～ 3.7.6、および 3.8 ～ 3.8.1 では、HTTP サーバーがクライアントに対して正規表現サービス拒否 (ReDoS) 攻撃を実施する可能性があります。これは、urllib.request.AbstractBasicAuthHandler の致命的なバックトラッキングが原因です。(CVE-2020-8492)

  - 3.8.3 以前の Python の Lib/ipaddress.py は、IPv4Interface クラスまたは IPv6Interface クラス内の正しいハッシュ値を計算しないため、アプリケーションが IPv4Interface オブジェクトまたは IPv6Interface オブジェクトを含む辞書の性能の影響を受ける場合に、リモート攻撃者がサービス拒否を引き起こす可能性があります。この攻撃者は、多数の辞書エントリを作成することができます。これは、v3.5.10、v3.5.10rc1、v3.6.12 で修正されています。
    v3.7.9、v3.8.4、v3.8.4rc1、v3.8.5、v3.8.6、v3.8.6rc1、v3.9.0、v3.9.0b4、v3.9.0b5、v3.9.0rc1、v3.9.0rc2。
    (CVE-2020-14422)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのMiracleLinux 7ホストには、AXSA:2020-772:01アドバイザリに記載されているとおり、複数の脆弱性の影響を受けるパッケージがインストールされています。

    * pythonserver_title フィールドのドキュメント XML-RPC サーバーでの XSS の脆弱性CVE-2019-16935]
      * pythonurlopen() に渡される URL のホスト部分を介した CRLF インジェクションCVE-2019-18348]
      * python細工された TAR アーカイブによる tarfile モジュールでの無限ループCVE-2019-20907
      * python-pipsrc/pip/_internal/download.py の _download_http_url() 関数のディレクトリトラバーサルCVE-2019-20916]
      * pythonurllib.request.AbstractBasicAuthHandler の誤ったバックトラックにより ReDoS が可能になりますCVE-2020-8492
      * pythonIPv{4,6}Interface クラスの非効率的な DoSCVE-2020-14422
      * pythonhttplib/http.client の HTTP リクエストメソッドを通じた CRLF インジェクションCVE-2020-26116]

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、5.19.1 より前です。したがって、NXSA-AOS-5.19.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 3.46より前の Network Security Services (NSS) で、いくつかの暗号化プリミティブの長さチェックが行われませんでした。ライブラリを呼び出すアプリケーションが入力のサニティチェックを実行しない場合、バッファオーバーフローによるクラッシュが発生する可能性があります。(CVE-2019-17006)

  - cURL 7.19.4 〜 7.65.3 の TFTP プロトコルハンドラーのヒープバッファオーバーフロー。(CVE-2019-5482)

  - 2.13 以前のすべてのバージョンの cpio では、TAR アーカイブを生成する際に入力ファイルを適切に検証しません。
    攻撃者が書き込みできるパスから TAR アーカイブを作成するために cpio が使用されると、その結果作成されるアーカイブには、攻撃者が持っていないアクセス許可のあるファイル、またはアクセス権を持たないパスのファイルが含まれる可能性があります。権限の高いユーザーから慎重に確認せずにこれらのアーカイブを抽出すると、システムが危険にさらされる可能性があります。(CVE-2019-14866)

  - Apache Tomcat 10.0.0-M1～10.0.0-M7、9.0.0.M1～9.0.37、8.5.0～8.5.57 に接続している HTTP/2 クライアントが、接続に対して合意された同時ストリームの最大数を超える場合 (HTTP/2 プロトコルの違反)、意図されたヘッダーではなく、以前のリクエストから、HTTPヘッダー (HTTP/2 疑似ヘッダーを含む) がその接続で行われるその後のリクエストに含まれる可能性がありました。このため、予期しないリソースに対する応答がユーザーに表示される可能性がありました。（CVE-2020-13943）

  - Oracle MySQL の MySQL Server 製品における脆弱性 (コンポーネント: サーバー: オプティマイザー)。影響を受けるサポート対象のバージョンは 5.6.45 以前、5.7.27 以前、8.0.17 以前です。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく MySQL Server をハングさせたり、頻繁にクラッシュを繰り返させたりする可能性 (完全な DOS) があります。(CVE-2019-2974)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 14.04LTS / 16.04LTS / 18.04LTS / 20.04LTS / 22.04LTS / 23.10ホストには、USN-6891-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Python が特定の入力を誤って処理していることが検出されました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。
    (CVE-2015-20107)

    Pythonが致命的なバックトラックに対して脆弱な正規表現を不適切に使用していることがわかりました。リモートの攻撃者がこの問題を悪用し、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2018-1060、CVE-2018-1061) 

    Python が Expats のハッシュソルトを初期化しないことが検出されました。リモートの攻撃者がこの問題を悪用してハッシュを衝突させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2018-14647)

    Pythonが特定のpickleファイルを不適切に処理することがわかりました。攻撃者がこの問題を悪用してメモリを消費させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。
    (CVE-2018-20406)

    Cookieを処理するときにPythonがドメインを不適切に検証することがわかりました。攻撃者は、Pythonをだまして間違ったドメインにCookieを送信させる可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。
    (CVE-2018-20852)

    Jonathan Birch氏とPanayiotis Panayiotou氏は、NFKC正規化中にPythonがUnicodeエンコードを不適切に処理することを発見しました。攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2019-9636、CVE-2019-10160) 

    Pythonが特定のメールアドレスを不適切に解析することがわかりました。リモートの攻撃者がこの問題を悪用して、Python アプリケーションを誘導して、拒否すべきメールアドレスを受け入れさせる可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2019-16056)

    PythonドキュメントXML-RPCサーバーが、特定のフィールドを不適切に処理したことが判明しました。リモートの攻撃者がこの問題を悪用して、クロスサイトスクリプティング (XSS) 攻撃を実行する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2019-16935)

    Pythonのドキュメントには、誤解を招く情報があることが判明しました。この情報の誤った仮定によって、セキュリティ問題が引き起こされる可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2019-17514) 

    Pythonがリクエストから特定の文字を誤って削除することがわかりました。リモートの攻撃者がこの問題を悪用し、CRLFのインジェクションを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2019-18348) 

    Python が特定の TAR アーカイブを不適切に処理することが検出されました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。
    (CVE-2019-20907)

    Colin Read 氏と Nicolas Edet 氏は、Python が特定の X509 証明書の解析を不適切に処理することを発見しました。
    攻撃者がこの問題を悪用してPythonをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2019-5010)

    特定の ZIP ファイルを不適切に処理することが検出されました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2019-9674)

    Pythonが特定のURLを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、CRLFインジェクション攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2019-9740、CVE-2019-9947) 

    Sihoon Lee 氏は、Python が local_file: スキームを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、ブラックリストメカニズムをバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。
    (CVE-2019-9948)

    Python が特定の IP 値を誤って処理していることが検出されました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。
    (CVE-2020-14422)

    Python が特定の文字シーケンスを誤って処理していることが検出されました。リモートの攻撃者がこの問題を悪用して、CRLF インジェクションを仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2020-26116) 

    Python が特定の入力を誤って処理していることが検出されました。攻撃者がこの問題を悪用して、任意のコードを実行したり、サービス拒否を引き起こしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。
    (CVE-2020-27619、CVE-2021-3177)

    Pythonで、特定のHTTPリクエストが誤って処理されることがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2020-8492)

    Python stdlib ipaddress API が 8 進文字列を不適切にしていることが検出されました。リモートの攻撃者がこの問題を利用して、特定のアクセス制限をバイパスするなど、さまざまな攻撃を実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS のみです。(CVE-2021-29921)

    David Schwrer 氏は、Python が特定の入力を誤って処理していることを発見しました。攻撃者がこの問題を悪用し、秘密情報を漏洩させる可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS のみです。(CVE-2021-3426)

    Python が特定の RFC を不適切に処理していることが検出されました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2021-3733)

    Python が特定のサーバー応答を誤って処理していることが検出されました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2021-3737)

    Python が、特定の FTP リクエストが誤って処理していることが検出されました。攻撃者がこの問題を悪用し、秘密情報を漏洩させる可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2021-4189) 

    Python が特定の入力を誤って処理していることが検出されました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。
    (CVE-2022-0391)

    Devin Jeanpierre 氏は、マルチプロセッシングモジュールが使用されているときに、Python がソケットを不適切に処理することを発見しました。ローカルの攻撃者がこの問題を利用し、任意のコードを実行し、権限を昇格する可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS のみです。(CVE-2022-42919)

    Python が特定の入力を誤って処理していることが検出されました。ユーザーや自動システムが、特別に細工された入力を実行するよう騙された場合、リモート攻撃者がこの問題を利用してサービス拒否 (DoS) を引き起こす可能性があります。この問題は、Ubuntu 14.04 LTS、Ubuntu 18.04 LTS および Ubuntu 22.04 LTS にのみ影響を与えます。
    (CVE-2022-45061、CVE-2023-24329)

    Python が特定のスクリプトを不適切に処理することが検出されました。攻撃者がこの問題を悪用して、任意のコードを実行したり、クラッシュを引き起こしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2022-48560) 

    Python が特定の plist ファイルを不適切に処理していることが検出されました。ユーザーまたは自動化されたシステムが、特別に細工された plist ファイルを処理するように誘導された場合、攻撃者はこの問題を利用してリソースを消費し、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2022-48564) 

    Python が plist ファイルの XML エンティティ宣言を適切に処理していないことが検出されました。攻撃者がこの脆弱性を利用して、XML 外部エンティティ (XXE) インジェクションを実行する可能性があり、その結果、サービス拒否または情報漏洩が発生する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2022-48565) 

    Python が crypto 操作の定数時間処理を適切に提供していないことが検出されました。攻撃者はこの問題を利用してタイミング攻撃を実行し、機密情報を復元する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2022-48566) 

    ssl.SSLSocket の Python インスタンスが TLS ハンドシェイクのバイパスに対して脆弱であることが検出されました。
    攻撃者がこの問題を利用して、TLS ハンドシェイク前の認証されていない受信データを、TLS ハンドシェイク後の認証済みデータとしてアプリケーションに処理させる可能性があります。この問題は、Ubuntu 14.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2023-40217)

    パス名を正規化するとき、Python が null バイトを不適切に処理することが検出されました。攻撃者はこの問題を利用して、特定のファイル名のチェックを回避する可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS のみです。
    (CVE-2023-41105)

    Python が特定のパラメーターで権限を誤って処理していることが検出されました。攻撃者がこの問題を利用して、新しいプロセスを開始する前に元のプロセスのグループを維持する可能性があります。この問題の影響を受けるのは Ubuntu 23.10 のみです。(CVE-2023-6507)

    Python が一時ファイル内のシンボリックリンクを誤って処理していることが検出されました。攻撃者がこの問題を利用して、ファイルのアクセス許可を変更する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS および Ubuntu 23.10 のみです。(CVE-2023-6597)

    Python が特定の細工された zip ファイルを誤って処理していることが検出されました。攻撃者がこの問題を悪用してプログラムをクラッシュさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-0450)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 8.6 ホストに、CIQ ciqsa-2026_0197 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    このアドバイザリは、CIQ LTS 8.6の python38 SRPM のセキュリティ修正をまとめたものです。27 件の CVE に対処します:
    CVE-2013-4238、 CVE-2016-0772、 CVE-2008-5983、 CVE-2021-3177、 CVE-2015-20107、その他 22 個。

Tenable は、前述の記述ブロックを CIQ セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
142400	RHEL 8: python3（RHSA-2020: 4433)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/11/8	medium
142431	RHEL 8: python38: 3.8（RHSA-2020: 4641)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/11/7	critical
143782	SUSE SLES12セキュリティ更新プログラム：python3 (SUSE-SU-2020:2699-1)	Nessus	SuSE Local Security Checks	2020/12/9	2024/2/5	high
145883	CentOS 8：python3（CESA-2020: 4433）	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	medium
157686	AlmaLinux 8python3ALSA-2020:4433	Nessus	Alma Linux Local Security Checks	2022/2/9	2023/11/10	medium
291633	MiracleLinux 7rh-python36-python-pip-9.0.1-5.el7、rh-python36-python-3.6.12-1.el7、rh-python36-python-virtualenv-15.1.0-3.el7AXSA :2020-772:01)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	high
164584	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-5.19.1)	Nessus	Misc.	2022/9/1	2025/7/22	critical
202187	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 23.10 : Python の脆弱性 (USN-6891-1)	Nessus	Ubuntu Local Security Checks	2024/7/11	2025/9/3	critical
357322	Rocky Linux 8.6 [CIQ] セキュリティ更新:python38/python38-debug/python38-debuginfo/etcの複数の脆弱性(ciqsa-2026_0197)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/11	critical

検出

プラグインの検索

medium

critical

high

medium

medium

high

critical

critical

critical