リモートホストは、GLSA-201503-10 で説明されている脆弱性の影響を受けます（Python：複数の脆弱性）

Python に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、任意のコードを実行できることや、サービス拒否状態を引き起こせることがあります。
 回避策：

現時点で、既知の回避策はありません。

この python の更新は、以下のセキュリティの問題を修正します：

- bnc#871152：os.mkdirs でディレクトリを作成している場合での umask との競合状態を修正しました（CVE-2014-2667）。

この python の更新では、次のセキュリティ問題と非セキュリティ問題を修正します：

- bnc#869222：悪意あるアーカイブを開く際に発生する DoS を修正しました（CVE-2013-7338）。

- bnc#863741：socket.recvfrom_into のバッファオーバーフローを修正しました（CVE-2014-1912）。

- bnc#871152：os.mkdirs でディレクトリを作成している場合での umask との競合状態を修正しました（CVE-2014-2667）。

- bnc#637176：ホームインストールのスキームを処理するために、更新 multilib パッチを修正しました。

CVE 2013-7338 および 2014-2667 を修正します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新済みの python3 パッケージでは、次のセキュリティの脆弱性が修正されています：

ZipExtFile.read は、悪意のあるバイナリの編集済み zip で、無限ループにより CPU を 100% にします（CVE-2013-7338）。

sock_recvfrom_into() 関数内の境界エラーにより Python のソケットモジュールに脆弱性があることが報告されました。これが悪用され、バッファオーバーフローが引き起こされる可能性があります。これを利用することにより、 socket.recvfrom_info() 関数を使用している Python アプリケーションをクラッシュさせたり、脆弱な Python コードを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります（CVE-2014-1912）。

Python 3.2 に追加されたパッチは、競合状態を引き起こすことが報告されました。この場合、プロセスの元の umask によって指示された権限の代わりに、すべてのユーザーが読み書きできる権限でファイルが作成される可能性があります。これにより、ローカルの攻撃者が、この呼び出しを使用しているプログラムにより作成されたファイルを参照および編集するために、競合に勝つ可能性があります。注意：Python の2.x を含む前のバージョンは、exist_ok が True に設定された際に os.makedirs() に使用される _get_masked_mode() 関数の脆弱性を含みません（CVE-2014-2667）。

Python は、不充分な境界チェックによって起こる _json モジュールのバグのために、ユーザーまたは敵対者による任意のプロセスメモリ読み取りに影響を受けやすくなっています。このバグは、配列インデックスで使用する負の値をユーザーが供給できるようにすることで発生します。これにより、scanString 関数をクラッシュさせ、アクセスすることを意図した文字列外のプロセスメモリにアクセスします（CVE-2014-4616）。

CGIHTTPServer Python モジュールが、URL の URL エンコード済みパスセパレータを、適切に処理しません。これにより、攻撃者が CGI スクリプトのソースコードを漏洩させたり、サーバーのドキュメントルートで任意のコードを実行したりする可能性があります（CVE-2014-4650）。

このpython3のバージョン3.6.10への更新では、次の問題を修正します：

  - CVE-2017-18207：Wave_read._read_fmt_chunk（）内のサービス拒否を修正しました（bsc#1083507）。

  - CVE-2019-16056：電子メールの解析が複数の@のために失敗する問題を修正しました（bsc#1149955）。

  - CVE-2019-15903：getNodeSize（）におけるヒープベースのバッファオーバーリードを修正しました（bsc#1149429）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

このpython3のバージョン3.6.10への更新では、次の問題を修正します：

CVE-2017-18207：Wave_read._read_fmt_chunk（）内のサービス拒否を修正しました（bsc#1083507）。

CVE-2019-16056：複数の@のために電子メールの解析が失敗する問題を修正しました（bsc#1149955）。

CVE-2019-15903：libexpat内のヒープベースのバッファオーバーリードを修正しました（bsc#1149429）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
82009	GLSA-201503-10：Python：複数の脆弱性	Nessus	Gentoo Local Security Checks	2015/3/24	2021/1/11	medium
75344	openSUSE セキュリティ更新：python3（openSUSE-SU-2014:0596-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	low
75343	openSUSE セキュリティ更新：python3（openSUSE-SU-2014:0597-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
79940	Fedora 20 : python3-3.3.2-19.fc20 （2014-16393）	Nessus	Fedora Local Security Checks	2014/12/15	2021/1/11	high
82329	Mandriva Linux セキュリティアドバイザリ：python3（MDVSA-2015:076）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/6	high
80368	Fedora 19 : python3-3.3.2-11.fc19 （2014-16479）	Nessus	Fedora Local Security Checks	2015/1/6	2021/1/11	high
133172	openSUSEセキュリティ更新プログラム：python3（openSUSE-2020-86）（BEAST）（httpoxy）	Nessus	SuSE Local Security Checks	2020/1/22	2024/3/29	critical
133036	SUSE SLED15 / SLES15セキュリティ更新プログラム：python3（SUSE-SU-2020:0114-1）（BEAST）（httpoxy）	Nessus	SuSE Local Security Checks	2020/1/17	2024/3/29	critical

検出

プラグインの検索

medium

low

high

high

high

high

critical

critical