Amazon Linux 2023：python3-virtualenv (ALAS2023-2026-3295)

high Nessus Plugin ID 371854

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，它會受到 ALAS2023-2026-3295 公告中所提及的多個弱點影響。

virtualenv 是一個用於創建隔離虛擬 Python 環境的工具。在 21.7.12之前，download_wheel（）接受為定期更新或 --download 選項擷取的 pip 和 setuptools 種子輪，而無需根據相當於內嵌輪的BUNDLE_SHA256驗證的權威摘要檢查其位元組。已入侵的索引、過時的鏡像或攔截的 TLS 連線可以在要求的發行版、版本和檔案名稱下取代不同的輪子，之後 virtualenv 會將攻擊者控制的輪子快取並植入後續建立的環境中。該驗證適用於預設的 PyPI 路徑，當PIP_INDEX_URL、PIP_EXTRA_INDEX_URL 或 PIP_INDEX 配置可以合法發布重建輪的自訂索引時，會故意跳過該驗證。21.7.12 版已修正此問題。
(CVE-2026-102930)

virtualenv 是一個用於創建隔離虛擬 Python 環境的工具。在之前 21.7.11，PyEnvCfg.write（）將提示值逐字寫入行導向的 pyvenv.cfg 格式，而 PyEnvCfg._read_values（）使用 str.splitlines（）剖析檔案並接受重複鍵的最後一個值。影響
--prompt、VIRTUALENV_PROMPT 或組態輸入可能會插入已辨識的行邊界和其他索引鍵（包括 home），導致消費者使用攻擊者選取的基底解譯器或損毀的環境中繼資料。安全性影響需要從運營商的信任邊界之外及時輸入;直接提供的提示內容主要會破壞操作員自己的環境。21.7.11 版已修正此問題。(CVE-2026-102938)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行 'dnf update python-virtualenv --releasever 2023.12.20261026' 或 'dnf update --advisory ALAS2023-2026-3295 --releasever 2023.12.20261026' 來更新您的系統。

另請參閱

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3295.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-102930.html

https://explore.alas.aws.amazon.com/CVE-2026-102938.html

Plugin 詳細資訊

嚴重性: High

ID: 371854

檔案名稱: al2023_ALAS2023-2026-3295.nasl

版本: 1.1

類型: Local

代理程式: unix

系列: Amazon Linux Local Security Checks

已發布: 2026/10/25

已更新: 2026/10/25

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus