このpython3用更新プログラムでは、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

CVE-2020-8492：HTTP経由のサービス拒否の影響を受けやすいurrlib内の正規表現を修正しました（bsc#1162367）。

修正された非セキュリティ問題：ロケールが「C」の場合は、C.UTF-8に強制します（bsc#1162423）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

python用のこの更新は、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-18348：urlopen（）に渡されるURLのホスト部分を介したCRLFインジェクションを修正しました。現在は、InvalidURL例外が発生します（bsc#1155094）。

  - CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートのUbuntu 18.04 LTS/20.04 LTSホストには、USN-4754-3のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.7.2までのPythonのLib/zipfile.pyにより、リモートの攻撃者は、ZIP爆弾を介してサービス拒否（リソース消費）の妨害を引き起こすことが可能になります。（CVE-2019-9674）

  -  2016年より前のPython 2および3ドキュメントのlibrary/glob.htmlには、再現性のないがん研究の結果に示されているように、並べ替えが発生するかどうかについて誤解を招く可能性がある情報が含まれています。注：このドキュメントの影響は複数のアプリケーションドメインにまたがるため、別の場所にあるセキュリティ関連コードが影響を受ける可能性があります。この問題はPython実装のバグではなく、NMRの研究者がlibrary/glob.htmlに特に依存しているという報告はありません。つまり、古いドキュメントには「Unixシェルで使用される規則に従って指定されたパターンに一致するすべてのパス名を見つける」と記載されていたため、Unixシェルで発生する並べ替えがglob.globでも発生すると誤って解釈された可能性があります。sort()を直接呼び出す、新しいバージョンのWilloughby nmr-data_compilation-p2.py およびnmr-data_compilation-p3.pyに回避策があります。（CVE-2019-17514）

  - 3.8.3以前のPythonのLib/tarfile.pyでは _proc_paxがヘッダー検証を欠いているため、攻撃者は、tarfile.openによって開かれた無限ループにつながるTARアーカイブを作ることができます。（CVE-2019-20907）

  - Pythonの2.7～2.7.17、3.5～3.5.9、3.6～3.6.10、3.7～3.7.6、および3.8～3.8.1では、HTTPサーバーがクライアントに対して正規表現サービス拒否（ReDoS）攻撃を実施する可能性があります。これは、urllib.request.AbstractBasicAuthHandlerの致命的なバックトラッキングが原因です。（CVE-2020-8492）

  - Python 3.5.10以前の3.x、3.6.12以前の3.6.x、3.7.9以前の3.7.x、および3.8.5以前の3.8.xのhttp.clientでは、HTTPConnection.request.の最初の引数にCRおよびLF制御文字を挿入することで実証されているように、攻撃者がHTTPリクエストメソッドを制御すればCRLFインジェクションが可能です。（CVE-2020-26116）

  - 3.9.0までのPython 3では、Lib/test/multibytecodec_support.py CJK コーデックテストは、HTTP経由で取得したコンテンツに対するeval()を呼び出します。（CVE-2020-27619）

  - Python3.xから3.9.1は、_ctypes/callproc.cのPyCArg_reprのバッファオーバーフローがあります。これにより、浮動小数点を信頼できない入力として受け入れる特定のPythonアプリケーションで、リモートコード実行が引き起こされることがあります。これは、c_double.from_paramに対する1e300引数で実証されています。これは、sprintfが安全でない方法で使用されているために発生します。（CVE-2021-3177）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このpython3用更新プログラムでは、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

  - CVE-2020-8492：HTTP経由のサービス拒否の影響を受けやすいurrlib内の正規表現を修正しました（bsc#1162367）。

修正された非セキュリティ問題：

  - ロケールが「C」の場合は、C.UTF-8に強制します（bsc#1162423）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

python用のこの更新は、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-9674：高圧縮ファイル爆弾の危険性を警告するドキュメントを改訂しました（bsc#1162825）。

CVE-2020-8492：HTTP経由のサービス拒否の影響を受けやすいurrlib内の正規表現を修正しました（bsc#1162367）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このpython3の更新では、次の問題を修正します：

CVE-2019-18348：urlopen（）に渡されるURLのホスト部分を介したCRLFインジェクションを修正しました。現在は、InvalidURL例外が発生します（bsc#1155094）。

CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

CVE-2020-8492：HTTP経由のサービス拒否の影響を受けやすいurllib内の正規表現を修正しました（bsc#1162367）。

バージョンの不一致に伴う問題を修正しました（bsc#1162224）。

パッケージのpython2バリアントと競合しないように、アイドルアイコンの名前をidle3に変更します。（bsc#1165894）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

python用のこの更新は、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-18348：urlopen（）に渡されるURLのホスト部分を介したCRLFインジェクションを修正しました。現在は、InvalidURL例外が発生します（bsc#1155094）。

CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このpythonのバージョン2.7.17への更新では、次の問題を修正します：

多数のアップストリームバグ修正およびセキュリティ修正との同期。

バグ修正：

CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

CVE-2019-18348：urlopen（）に渡されるURLのホスト部分を介したCRLFインジェクションを修正しました。現在は、InvalidURL例外が発生します（bsc#1155094）。

CVE-2020-8492：HTTP経由のサービス拒否の影響を受けやすいurllib内の正規表現を修正しました（bsc#1162367）。

libpythonバージョンとpython-baseバージョン間の不一致を修正しました（bsc#1162224）。

libpython2.7.so.1内のセグメンテーション違反を修正しました（bsc#1073748）。

openSUSE間でパッケージを統一しました：FactoryバージョンとSLEバージョン（bsc#1159035）。

メニューでIDLEを提供するために、idle.desktopとidle.appdata.xmlを追加しました（bsc#1153830）。

python-strict-tls-checksパッケージとファイルの競合を回避するためにpython-baseからtsl_checkファイルを除外しました（bsc#945401）。

Python 2バージョンとの競合を回避するために、idle3アイコンの名前をidle3.pngに変更しました（bsc#1165894）。

加えて、スタートアップファイルを含む、新しい「shared-python-startup」パッケージが提供されています。

以下を修正するために、python-rpm-macrosが更新しました：

テスト用の.pycファイルを書き込まないようにします（bsc#1171561）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このpython36の更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-9674：高圧縮ファイル爆弾の危険性を反映するためにドキュメントを改訂しました（bsc#1162825）。

CVE-2020-8492：HTTP経由のサービス拒否の影響を受けやすいurrlib内の正規表現を修正しました（bsc#1162367）。

修正された非セキュリティ問題：ロケールが「C」の場合は、C.UTF-8に強制します（bsc#1162423）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Pythonのドキュメントには、誤解を招く情報があることが判明しました。この情報の誤った仮定によって、セキュリティ問題が引き起こされる可能性があります。この問題が影響を受けるのはUbuntu 12.04 ESM、Ubuntu 14.04 ESM、Ubuntu 16.04 LTS、Ubuntu 18.04 LTSのみです。
(CVE-2019-17514) Pythonが特定のTARアーカイブを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2019-20907) 特定のZIPファイルを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 ESM、Ubuntu 14.04 ESM、Ubuntu 16.04 LTS、Ubuntu 18.04 LTSのみです。(CVE-2019-9674) Pythonが特定のIP値を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題が影響を受けるのは、Ubuntu 14.04 ESM、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04  LTSのみです。(CVE-2020-14422)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
134081	SUSE SLED15 / SLES15セキュリティ更新プログラム：python3（SUSE-SU-2020:0467-1）	Nessus	SuSE Local Security Checks	2020/2/26	2024/3/25	high
136884	openSUSEセキュリティ更新プログラム：python（openSUSE-2020-696）	Nessus	SuSE Local Security Checks	2020/5/26	2020/5/28	medium
148008	Ubuntu 18.04 LTS / 20.04 LTS：Pythonの脆弱性（USN-4754-3）	Nessus	Ubuntu Local Security Checks	2021/3/23	2023/10/16	critical
134197	openSUSEセキュリティ更新プログラム：python3（openSUSE-2020-274）	Nessus	SuSE Local Security Checks	2020/3/2	2024/3/25	high
134159	SUSE SLED15 / SLES15セキュリティ更新プログラム：python（SUSE-SU-2020:0510-1）	Nessus	SuSE Local Security Checks	2020/2/28	2024/3/25	high
135197	SUSE SLES12セキュリティ更新プログラム：python3（SUSE-SU-2020:0854-1）	Nessus	SuSE Local Security Checks	2020/4/3	2024/3/19	medium
136798	SUSE SLED15 / SLES15セキュリティ更新プログラム：python（SUSE-SU-2020:1339-1）	Nessus	SuSE Local Security Checks	2020/5/22	2021/1/13	medium
137580	SUSE SLES12セキュリティ更新プログラム：python（SUSE-SU-2020:1524-1）	Nessus	SuSE Local Security Checks	2020/6/18	2024/3/6	medium
134286	SUSE SLES12セキュリティ更新プログラム：python36（SUSE-SU-2020:0557-1）	Nessus	SuSE Local Security Checks	2020/3/6	2024/3/25	high
138872	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : Pythonの脆弱性 (USN-4428-1)	Nessus	Ubuntu Local Security Checks	2020/7/23	2023/10/21	high

検出

プラグインの検索

high

medium

critical

high

high

medium

medium

medium

high

high