The remote Fedora 39 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-f652468298 advisory.

    This is a security release of Python 3.11
    -----------------------------------------

    **Note:** The release you're looking at is Python 3.11.10, a **security bugfix release** for the legacy     3.11 series. *Python 3.12* is now the latest feature release series of Python 3.

    Security content in this release
    --------------------------------

    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see [     `verify_generated_headers`](https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify
    _generated_headers). That's CVE-2024-6923.
    -   [gh-119690](https://github.com/python/cpython/issues/119690): Fixes data type confusion in audit     events raised by `_winapi.CreateFile` and `_winapi.CreateNamedPipe`.
    -   [gh-116773](https://github.com/python/cpython/issues/116773): Fix instances of     `<_overlapped.Overlapped object at 0xXXX> still has pending operation at deallocation, the process may     crash`.
    -   [gh-112275](https://github.com/python/cpython/issues/112275): A deadlock involving `pystate.c`'s     `HEAD_LOCK` in `posixmodule.c` at fork is now fixed.This is a security release of Python 3.9
    ----------------------------------------

    **Note:** The release you're looking at is Python 3.9.20, a **security bugfix release** for the legacy 3.9     series. *Python 3.12* is now the latest feature release series of Python 3. [Get the latest release of     3.12.x here](https://www.python.org/downloads/).

    Security content in this release
    --------------------------------

    -   [gh-123678](https://github.com/python/cpython/issues/123678) and     [gh-116741](https://github.com/python/cpython/issues/116741): Upgrade bundled libexpat to 2.6.3 to fix     [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8),     [CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w),     [CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) and     [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79).
    -   [gh-118486](https://github.com/python/cpython/issues/118486):
    [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) on Windows now accepts *mode* of     `0o700` to restrict the new directory to the current user. This fixes CVE-2024-4030 affecting     [`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) in scenarios     where the base temporary directory is more permissive than the default.
    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see     [`ver

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Azure Linux 3.0 主機上安裝的 python3 版本比測試版本舊。因此，此版本會受到 CVE-2024-4030 公告中提及的一個弱點影響。

  - 在 Windows 上tempfile.mkdtemp() 傳回的目錄可能不會一律將權限設定為限制其他使用者讀取和寫入暫存目錄而是通常會從預設位置繼承正確權限。替代組態或沒有設定檔目錄的使用者可能不具備預定的權限。若您使用的不是 Windows 或尚未變更暫存目錄位置就不會受到此弱點的影響。在其他平台上傳回的目錄始終只能由目前的使用者讀取和寫入。此問題是因為 Python 不支援 Windows 上的 Unix 權限所導致。此修正針對 Windows 上的 mkdir 函式新增 Unix 700 的支援mkdtemp() 會使用該函式確保新建立的目錄具有適當的權限。
    (CVE-2024-4030)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Fedora 39 ホストには、FEDORA-2024-f652468298 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    これは Python 3.11 のセキュリティリリースです
    -----------------------------------------

    **注:** 表示されているリリースは Python 3.11.10 で、レガシー 3.11 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください (https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify_generated_headers)。それは CVE-2024-6923 です。
    - [gh-119690] (https://github.com/python/cpython/issues/119690):) `_winapi.CreateFile` および `_winapi.CreateNamedPipe` によって引き起こされる監査イベントのデータ型の取り違えを修正します。
    - [gh-116773] (https://github.com/python/cpython/issues/116773):) `<_overlapped.Overlapped object at 0xXXX> には割り当て解除時に保留中の操作がまだあります。プロセスがクラッシュする可能性があります` のインスタンスを修正します。
    - [gh-112275] (https://github.com/python/cpython/issues/112275):) フォーク時の `pystate.c` の `posixmodule.c` の `HEAD_LOCK` に関連するデッドロックが修正されました。これは Python 3.9 のセキュリティリリースです
    ----------------------------------------

    **注:** 表示されているリリースは Python 3.9.20 で、レガシー 3.9 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。[3.12.x の最新リリースを取得してください](https://www.python.org/downloads/)。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123678](https://github.com/python/cpython/issues/123678) and [gh-116741](https://github.com/python/cpython/issues/116741): バンドルされた libexpat を 2.6.3 にアップグレードして [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8)、[CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w)、[CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) および [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79) を修正します。
    - [gh-118486](https://github.com/python/cpython/issues/118486):
    Windows の [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) は現在、*mode*「0o700」を受け入れ、新しいディレクトリを現在のユーザーに制限しています。これにより、ベースの一時ディレクトリがデフォルトよりも許容度の高いシナリオで、[`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) に影響を与える CVE-2024-4030 が修正されます。
    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください。参照: [`ver

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Azure Linux 3.0 主机上安装的 python3 版本低于 测试的版本。因此，该程序受到 CVE-2024-4030 公告中提及的一个漏洞影响。

  - 在 Windows 上tempfile.mkdtemp() 返回的目录不会始终具有被设置为限制其他用户对临时目录读取和写入的权限但通常会从默认位置继承正确的权限。备用配置或者没有配置文件目录的用户可能不具有预期的权限。如果您使用的不是 Windows 或未更改临时目录位置则不受此漏洞的影响。在其他平台上返回的目录始终只有当前用户可读和可写。此问题的原因是 Python 不支持 Windows 上的 Unix 权限。修复为 Windows 上的 mkdir 函数添加对 Unix 700 的支持 mkdtemp() 使用该函数确保新创建的目录具有正确的权限。
    (CVE-2024-4030)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Azure Linux 3.0 ホストにインストールされている python3 のバージョンは、 より前の です。したがって、CVE-2024-4030 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Windows 上で、tempfile.mkdtemp() によって返されるディレクトリは、他のユーザーによる一時ディレクトリへの読み書きを制限する権限が設定されていない場合があります。通常は、デフォルトの場所から正しい権限を継承します。代替構成またはプロファイルディレクトリのないユーザーには、意図されたアクセス許可が付与されない可能性があります。Windows を使用していない場合、または一時ディレクトリの場所を変更していない場合は、この脆弱性の影響を受けません。他のプラットフォームでは、返されたディレクトリは常に、現在のユーザーのみが読み取りおよび書き込み可能です。この問題は、PythonがWindowsでUnix権限をサポートしていないことが原因でした。この修正により、Windows での mkdir 関数に対する Unix 700 のサポートが追加されています。これは mkdtemp() によって使用され、新しく作成されたディレクトリに適切な権限が与えられるようになりました。
    (CVE-2024-4030)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of python3 installed on the remote Azure Linux 3.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2024-4030 advisory.

  - On Windows a directory returned by tempfile.mkdtemp() would not always have permissions set to restrict     reading and writing to the temporary directory by other users, instead usually inheriting the correct     permissions from the default location. Alternate configurations or users without a profile directory may     not have the intended permissions. If you're not using Windows or haven't changed the temporary directory     location then you aren't affected by this vulnerability. On other platforms the returned directory is     consistently readable and writable only by the current user. This issue was caused by Python not     supporting Unix permissions on Windows. The fix adds support for Unix 700 for the mkdir function on     Windows which is used by mkdtemp() to ensure the newly created directory has the proper permissions.
    (CVE-2024-4030)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of python3 installed on the remote CBL Mariner 2.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2024-4030 advisory.

  - On Windows a directory returned by tempfile.mkdtemp() would not always have permissions set to restrict     reading and writing to the temporary directory by other users, instead usually inheriting the correct     permissions from the default location. Alternate configurations or users without a profile directory may     not have the intended permissions. If you're not using Windows or haven't changed the temporary directory     location then you aren't affected by this vulnerability. On other platforms the returned directory is     consistently readable and writable only by the current user. This issue was caused by Python not     supporting Unix permissions on Windows. The fix adds support for Unix 700 for the mkdir function on     Windows which is used by mkdtemp() to ensure the newly created directory has the proper permissions.
    (CVE-2024-4030)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2572-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-4032: パブリックおよびプライベートの IPv4 および IPv6 アドレス範囲に関する情報を修正 (bsc#1226448)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-6dedbc5cf9 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    これは Python 3.11 のセキュリティリリースです
    -----------------------------------------

    **注:** 表示されているリリースは Python 3.11.10 で、レガシー 3.11 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください (https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify_generated_headers)。それは CVE-2024-6923 です。
    - [gh-119690] (https://github.com/python/cpython/issues/119690):) `_winapi.CreateFile` および `_winapi.CreateNamedPipe` によって引き起こされる監査イベントのデータ型の取り違えを修正します。
    - [gh-116773] (https://github.com/python/cpython/issues/116773):) `<_overlapped.Overlapped object at 0xXXX> には割り当て解除時に保留中の操作がまだあります。プロセスがクラッシュする可能性があります` のインスタンスを修正します。
    - [gh-112275] (https://github.com/python/cpython/issues/112275):) フォーク時の `pystate.c` の `posixmodule.c` の `HEAD_LOCK` に関連するデッドロックが修正されました。これは Python 3.9 のセキュリティリリースです
    ----------------------------------------

    **注:** 表示されているリリースは Python 3.9.20 で、レガシー 3.9 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。[3.12.x の最新リリースを取得してください](https://www.python.org/downloads/)。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123678](https://github.com/python/cpython/issues/123678) and [gh-116741](https://github.com/python/cpython/issues/116741): バンドルされた libexpat を 2.6.3 にアップグレードして [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8)、[CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w)、[CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) および [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79) を修正します。
    - [gh-118486](https://github.com/python/cpython/issues/118486):
    Windows の [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) は現在、*mode*「0o700」を受け入れ、新しいディレクトリを現在のユーザーに制限しています。これにより、ベースの一時ディレクトリがデフォルトよりも許容度の高いシナリオで、[`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) に影響を与える CVE-2024-4030 が修正されます。
    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください。参照: [`ver

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 40 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-1e6d6f8452 advisory.

    This is a security release of Python 3.11
    -----------------------------------------

    **Note:** The release you're looking at is Python 3.11.10, a **security bugfix release** for the legacy     3.11 series. *Python 3.12* is now the latest feature release series of Python 3.

    Security content in this release
    --------------------------------

    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see [     `verify_generated_headers`](https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify
    _generated_headers). That's CVE-2024-6923.
    -   [gh-119690](https://github.com/python/cpython/issues/119690): Fixes data type confusion in audit     events raised by `_winapi.CreateFile` and `_winapi.CreateNamedPipe`.
    -   [gh-116773](https://github.com/python/cpython/issues/116773): Fix instances of     `<_overlapped.Overlapped object at 0xXXX> still has pending operation at deallocation, the process may     crash`.
    -   [gh-112275](https://github.com/python/cpython/issues/112275): A deadlock involving `pystate.c`'s     `HEAD_LOCK` in `posixmodule.c` at fork is now fixed.This is a security release of Python 3.9
    ----------------------------------------

    **Note:** The release you're looking at is Python 3.9.20, a **security bugfix release** for the legacy 3.9     series. *Python 3.12* is now the latest feature release series of Python 3. [Get the latest release of     3.12.x here](https://www.python.org/downloads/).

    Security content in this release
    --------------------------------

    -   [gh-123678](https://github.com/python/cpython/issues/123678) and     [gh-116741](https://github.com/python/cpython/issues/116741): Upgrade bundled libexpat to 2.6.3 to fix     [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8),     [CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w),     [CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) and     [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79).
    -   [gh-118486](https://github.com/python/cpython/issues/118486):
    [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) on Windows now accepts *mode* of     `0o700` to restrict the new directory to the current user. This fixes CVE-2024-4030 affecting     [`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) in scenarios     where the base temporary directory is more permissive than the default.
    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see     [`ver

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 39 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-7db9258d37 advisory.

    This is a security release of Python 3.11
    -----------------------------------------

    **Note:** The release you're looking at is Python 3.11.10, a **security bugfix release** for the legacy     3.11 series. *Python 3.12* is now the latest feature release series of Python 3.

    Security content in this release
    --------------------------------

    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see [     `verify_generated_headers`](https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify
    _generated_headers). That's CVE-2024-6923.
    -   [gh-119690](https://github.com/python/cpython/issues/119690): Fixes data type confusion in audit     events raised by `_winapi.CreateFile` and `_winapi.CreateNamedPipe`.
    -   [gh-116773](https://github.com/python/cpython/issues/116773): Fix instances of     `<_overlapped.Overlapped object at 0xXXX> still has pending operation at deallocation, the process may     crash`.
    -   [gh-112275](https://github.com/python/cpython/issues/112275): A deadlock involving `pystate.c`'s     `HEAD_LOCK` in `posixmodule.c` at fork is now fixed.This is a security release of Python 3.9
    ----------------------------------------

    **Note:** The release you're looking at is Python 3.9.20, a **security bugfix release** for the legacy 3.9     series. *Python 3.12* is now the latest feature release series of Python 3. [Get the latest release of     3.12.x here](https://www.python.org/downloads/).

    Security content in this release
    --------------------------------

    -   [gh-123678](https://github.com/python/cpython/issues/123678) and     [gh-116741](https://github.com/python/cpython/issues/116741): Upgrade bundled libexpat to 2.6.3 to fix     [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8),     [CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w),     [CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) and     [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79).
    -   [gh-118486](https://github.com/python/cpython/issues/118486):
    [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) on Windows now accepts *mode* of     `0o700` to restrict the new directory to the current user. This fixes CVE-2024-4030 affecting     [`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) in scenarios     where the base temporary directory is more permissive than the default.
    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see     [`ver

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 41 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-308628ebb8 advisory.

    This is a security release of Python 3.11
    -----------------------------------------

    **Note:** The release you're looking at is Python 3.11.10, a **security bugfix release** for the legacy     3.11 series. *Python 3.12* is now the latest feature release series of Python 3.

    Security content in this release
    --------------------------------

    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see [     `verify_generated_headers`](https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify
    _generated_headers). That's CVE-2024-6923.
    -   [gh-119690](https://github.com/python/cpython/issues/119690): Fixes data type confusion in audit     events raised by `_winapi.CreateFile` and `_winapi.CreateNamedPipe`.
    -   [gh-116773](https://github.com/python/cpython/issues/116773): Fix instances of     `<_overlapped.Overlapped object at 0xXXX> still has pending operation at deallocation, the process may     crash`.
    -   [gh-112275](https://github.com/python/cpython/issues/112275): A deadlock involving `pystate.c`'s     `HEAD_LOCK` in `posixmodule.c` at fork is now fixed.This is a security release of Python 3.9
    ----------------------------------------

    **Note:** The release you're looking at is Python 3.9.20, a **security bugfix release** for the legacy 3.9     series. *Python 3.12* is now the latest feature release series of Python 3. [Get the latest release of     3.12.x here](https://www.python.org/downloads/).

    Security content in this release
    --------------------------------

    -   [gh-123678](https://github.com/python/cpython/issues/123678) and     [gh-116741](https://github.com/python/cpython/issues/116741): Upgrade bundled libexpat to 2.6.3 to fix     [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8),     [CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w),     [CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) and     [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79).
    -   [gh-118486](https://github.com/python/cpython/issues/118486):
    [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) on Windows now accepts *mode* of     `0o700` to restrict the new directory to the current user. This fixes CVE-2024-4030 affecting     [`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) in scenarios     where the base temporary directory is more permissive than the default.
    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see     [`ver

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 40 ホストには、FEDORA-2024-1e6d6f8452 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    これは Python 3.11 のセキュリティリリースです
    -----------------------------------------

    **注:** 表示されているリリースは Python 3.11.10 で、レガシー 3.11 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください (https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify_generated_headers)。それは CVE-2024-6923 です。
    - [gh-119690] (https://github.com/python/cpython/issues/119690):) `_winapi.CreateFile` および `_winapi.CreateNamedPipe` によって引き起こされる監査イベントのデータ型の取り違えを修正します。
    - [gh-116773] (https://github.com/python/cpython/issues/116773):) `<_overlapped.Overlapped object at 0xXXX> には割り当て解除時に保留中の操作がまだあります。プロセスがクラッシュする可能性があります` のインスタンスを修正します。
    - [gh-112275] (https://github.com/python/cpython/issues/112275):) フォーク時の `pystate.c` の `posixmodule.c` の `HEAD_LOCK` に関連するデッドロックが修正されました。これは Python 3.9 のセキュリティリリースです
    ----------------------------------------

    **注:** 表示されているリリースは Python 3.9.20 で、レガシー 3.9 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。[3.12.x の最新リリースを取得してください](https://www.python.org/downloads/)。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123678](https://github.com/python/cpython/issues/123678) and [gh-116741](https://github.com/python/cpython/issues/116741): バンドルされた libexpat を 2.6.3 にアップグレードして [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8)、[CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w)、[CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) および [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79) を修正します。
    - [gh-118486](https://github.com/python/cpython/issues/118486):
    Windows の [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) は現在、*mode*「0o700」を受け入れ、新しいディレクトリを現在のユーザーに制限しています。これにより、ベースの一時ディレクトリがデフォルトよりも許容度の高いシナリオで、[`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) に影響を与える CVE-2024-4030 が修正されます。
    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください。参照: [`ver

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-7db9258d37 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    これは Python 3.11 のセキュリティリリースです
    -----------------------------------------

    **注:** 表示されているリリースは Python 3.11.10 で、レガシー 3.11 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください (https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify_generated_headers)。それは CVE-2024-6923 です。
    - [gh-119690] (https://github.com/python/cpython/issues/119690):) `_winapi.CreateFile` および `_winapi.CreateNamedPipe` によって引き起こされる監査イベントのデータ型の取り違えを修正します。
    - [gh-116773] (https://github.com/python/cpython/issues/116773):) `<_overlapped.Overlapped object at 0xXXX> には割り当て解除時に保留中の操作がまだあります。プロセスがクラッシュする可能性があります` のインスタンスを修正します。
    - [gh-112275] (https://github.com/python/cpython/issues/112275):) フォーク時の `pystate.c` の `posixmodule.c` の `HEAD_LOCK` に関連するデッドロックが修正されました。これは Python 3.9 のセキュリティリリースです
    ----------------------------------------

    **注:** 表示されているリリースは Python 3.9.20 で、レガシー 3.9 シリーズの **セキュリティバグ修正リリース** です。*Python 3.12* が、Python 3 の最新の機能リリースシリーズになりました。[3.12.x の最新リリースを取得してください](https://www.python.org/downloads/)。

    このリリースのセキュリティコンテンツ
    --------------------------------

    - [gh-123678](https://github.com/python/cpython/issues/123678) and [gh-116741](https://github.com/python/cpython/issues/116741): バンドルされた libexpat を 2.6.3 にアップグレードして [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8)、[CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w)、[CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) および [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79) を修正します。
    - [gh-118486](https://github.com/python/cpython/issues/118486):
    Windows の [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) は現在、*mode*「0o700」を受け入れ、新しいディレクトリを現在のユーザーに制限しています。これにより、ベースの一時ディレクトリがデフォルトよりも許容度の高いシナリオで、[`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) に影響を与える CVE-2024-4030 が修正されます。
    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-113171] (https://github.com/python/cpython/issues/113171):) IPv4Address.is_private、IPv4Address.is_global、IPv6Address.is_private、IPv6Address.is_global のさまざまな誤検出および検出漏れを修正しました。
    CVE-2024-4032 の修正。
    - [gh-67693] (https://github.com/python/cpython/issues/67693):) 複数のスラッシュで始まり権限のないパスのある URI の [`urllib.parse.urlunparse()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse) および [`urllib.parse.urlunsplit()`] (https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit) を修正します。CVE-2015-2104 の修正。
    - [gh-121957] (https://github.com/python/cpython/issues/121957):) Python の対話型使用に関する監査イベントの欠落を修正し、`python -i` だけでなく `python -m asyncio` でも適切に実行されるようになりました。
    問題のイベントは「cpython.run_stdin」です。
    - [gh-122133] (https://github.com/python/cpython/issues/122133):) Windows のように `AF_UNIX` が利用できないプラットフォームで、`socket.socketpair()` フォールバック用のソケット接続を認証します。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-114572] (https://github.com/python/cpython/issues/114572):) [`ssl.SSLContext.cert_store_stats()`](ht tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) および [`ssl.SSLContext.get_ca_certs()`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs) は、[`ssl.SSLContext`] (https://docs.python.org/3/library/ssl.html#ssl.SSLContext) が複数のスレッドで共有されているときに、証明書ストアへのアクセスを適切にロックするようになりました。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。
    - [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`] (https://docs.python.org/3/library/email.html#module-email) 改行が埋め込まれたヘッダーは、出力で引用されるようになりました。[`generator`] (https://docs.python.org/3/library/email.generator.html#module-email.generator) は、安全でない方法で折り畳まれたり区切られたりしたヘッダーのシリアル化 (書き込み) を拒否するようになります。[`verify_generated_headers`] を参照してください。参照: [`ver

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:2572-1 advisory.

    - CVE-2024-4032: Corrected information about public and private IPv4       and IPv6 address ranges (bsc#1226448).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 41 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-7a069f48e4 advisory.

    This is a security release of Python 3.11
    -----------------------------------------

    **Note:** The release you're looking at is Python 3.11.10, a **security bugfix release** for the legacy     3.11 series. *Python 3.12* is now the latest feature release series of Python 3.

    Security content in this release
    --------------------------------

    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see [     `verify_generated_headers`](https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify
    _generated_headers). That's CVE-2024-6923.
    -   [gh-119690](https://github.com/python/cpython/issues/119690): Fixes data type confusion in audit     events raised by `_winapi.CreateFile` and `_winapi.CreateNamedPipe`.
    -   [gh-116773](https://github.com/python/cpython/issues/116773): Fix instances of     `<_overlapped.Overlapped object at 0xXXX> still has pending operation at deallocation, the process may     crash`.
    -   [gh-112275](https://github.com/python/cpython/issues/112275): A deadlock involving `pystate.c`'s     `HEAD_LOCK` in `posixmodule.c` at fork is now fixed.This is a security release of Python 3.9
    ----------------------------------------

    **Note:** The release you're looking at is Python 3.9.20, a **security bugfix release** for the legacy 3.9     series. *Python 3.12* is now the latest feature release series of Python 3. [Get the latest release of     3.12.x here](https://www.python.org/downloads/).

    Security content in this release
    --------------------------------

    -   [gh-123678](https://github.com/python/cpython/issues/123678) and     [gh-116741](https://github.com/python/cpython/issues/116741): Upgrade bundled libexpat to 2.6.3 to fix     [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8),     [CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w),     [CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) and     [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79).
    -   [gh-118486](https://github.com/python/cpython/issues/118486):
    [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) on Windows now accepts *mode* of     `0o700` to restrict the new directory to the current user. This fixes CVE-2024-4030 affecting     [`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) in scenarios     where the base temporary directory is more permissive than the default.
    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see     [`ver

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 40 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-6dedbc5cf9 advisory.

    This is a security release of Python 3.11
    -----------------------------------------

    **Note:** The release you're looking at is Python 3.11.10, a **security bugfix release** for the legacy     3.11 series. *Python 3.12* is now the latest feature release series of Python 3.

    Security content in this release
    --------------------------------

    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see [     `verify_generated_headers`](https://docs.python.org/3/library/email.policy.html#email.policy.Policy.verify
    _generated_headers). That's CVE-2024-6923.
    -   [gh-119690](https://github.com/python/cpython/issues/119690): Fixes data type confusion in audit     events raised by `_winapi.CreateFile` and `_winapi.CreateNamedPipe`.
    -   [gh-116773](https://github.com/python/cpython/issues/116773): Fix instances of     `<_overlapped.Overlapped object at 0xXXX> still has pending operation at deallocation, the process may     crash`.
    -   [gh-112275](https://github.com/python/cpython/issues/112275): A deadlock involving `pystate.c`'s     `HEAD_LOCK` in `posixmodule.c` at fork is now fixed.This is a security release of Python 3.9
    ----------------------------------------

    **Note:** The release you're looking at is Python 3.9.20, a **security bugfix release** for the legacy 3.9     series. *Python 3.12* is now the latest feature release series of Python 3. [Get the latest release of     3.12.x here](https://www.python.org/downloads/).

    Security content in this release
    --------------------------------

    -   [gh-123678](https://github.com/python/cpython/issues/123678) and     [gh-116741](https://github.com/python/cpython/issues/116741): Upgrade bundled libexpat to 2.6.3 to fix     [CVE-2024-28757](https://github.com/advisories/GHSA-ch5v-h69f-mxc8),     [CVE-2024-45490](https://github.com/advisories/GHSA-4hvh-m426-wv8w),     [CVE-2024-45491](https://github.com/advisories/GHSA-784x-7qm2-gp97) and     [CVE-2024-45492](https://github.com/advisories/GHSA-5qxm-qvmj-8v79).
    -   [gh-118486](https://github.com/python/cpython/issues/118486):
    [`os.mkdir()`](https://docs.python.org/3/library/os.html#os.mkdir) on Windows now accepts *mode* of     `0o700` to restrict the new directory to the current user. This fixes CVE-2024-4030 affecting     [`tempfile.mkdtemp()`](https://docs.python.org/3/library/tempfile.html#tempfile.mkdtemp) in scenarios     where the base temporary directory is more permissive than the default.
    -   [gh-123067](https://github.com/python/cpython/issues/123067): Fix quadratic complexity in parsing     ``-quoted cookie values with backslashes by     [`http.cookies`](https://docs.python.org/3/library/http.cookies.html#module-http.cookies). Fixes     CVE-2024-7592.
    -   [gh-113171](https://github.com/python/cpython/issues/113171): Fixed various false positives and false     negatives in IPv4Address.is_private, IPv4Address.is_global, IPv6Address.is_private, IPv6Address.is_global.
    Fixes CVE-2024-4032.
    -   [gh-67693](https://github.com/python/cpython/issues/67693): Fix     [`urllib.parse.urlunparse()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunparse)     and     [`urllib.parse.urlunsplit()`](https://docs.python.org/3/library/urllib.parse.html#urllib.parse.urlunsplit)     for URIs with path starting with multiple slashes and no authority. Fixes CVE-2015-2104.
    -   [gh-121957](https://github.com/python/cpython/issues/121957): Fixed missing audit events around     interactive use of Python, now also properly firing for `python -i`, as well as for `python -m asyncio`.
    The event in question is `cpython.run_stdin`.
    -   [gh-122133](https://github.com/python/cpython/issues/122133): Authenticate the socket connection for     the `socket.socketpair()` fallback on platforms where `AF_UNIX` is not available like Windows.
    -   [gh-121285](https://github.com/python/cpython/issues/121285): Remove backtracking from tarfile header     parsing for `hdrcharset`, PAX, and GNU sparse headers. That's CVE-2024-6232.
    -   [gh-114572](https://github.com/python/cpython/issues/114572): [`ssl.SSLContext.cert_store_stats()`](ht     tps://docs.python.org/3/library/ssl.html#ssl.SSLContext.cert_store_stats) and     [`ssl.SSLContext.get_ca_certs()`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext.get_ca_certs)     now correctly lock access to the certificate store, when the     [`ssl.SSLContext`](https://docs.python.org/3/library/ssl.html#ssl.SSLContext) is shared across multiple     threads.
    -   [gh-102988](https://github.com/python/cpython/issues/102988): [`email.utils.getaddresses()`](https://d     ocs.python.org/3/library/email.utils.html#email.utils.getaddresses) and     [`email.utils.parseaddr()`](https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) now     return `('', '')` 2-tuples in more situations where invalid email addresses are encountered instead of     potentially inaccurate values. Add optional *strict* parameter to these two functions: use `strict=False`     to get the old behavior, accept malformed inputs. `getattr(email.utils, 'supports_strict_parsing', False)`     can be use to check if the *strict* paramater is available. This improves the CVE-2023-27043 fix.
    -   [gh-123270](https://github.com/python/cpython/issues/123270): Sanitize names in     [`zipfile.Path`](https://docs.python.org/3/library/zipfile.html#zipfile.Path) to avoid infinite loops     ([gh-122905](https://github.com/python/cpython/issues/122905)) without breaking contents using legitimate     characters. That's CVE-2024-8088.
    -   [gh-121650](https://github.com/python/cpython/issues/121650):
    [`email`](https://docs.python.org/3/library/email.html#module-email) headers with embedded newlines are     now quoted on output. The [`generator`](https://docs.python.org/3/library/email.generator.html#module-     email.generator) will now refuse to serialize (write) headers that are unsafely folded or delimited; see     [`ver

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
207485	Fedora 39 : python3.8 (2024-f652468298)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
242348	Azure Linux 3.0 安全性更新python3 (CVE-2024-4030)	Nessus	Azure Linux Local Security Checks	2025/7/19	2025/7/19	high
207485	Fedora 39：python3.8 (2024-f652468298)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
242348	Azure Linux 3.0 安全更新python3 (CVE-2024-4030)	Nessus	Azure Linux Local Security Checks	2025/7/19	2025/7/19	high
242348	Azure Linux 3.0 セキュリティ更新python3CVE-2024-4030	Nessus	Azure Linux Local Security Checks	2025/7/19	2025/7/19	high
242348	Azure Linux 3.0 Security Update: python3 (CVE-2024-4030)	Nessus	Azure Linux Local Security Checks	2025/7/19	2025/7/19	high
242364	CBL Mariner 2.0 Security Update: python3 (CVE-2024-4030)	Nessus	MarinerOS Local Security Checks	2025/7/19	2025/7/19	high
203000	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : python312 (SUSE-SU-2024:2572-1)	Nessus	SuSE Local Security Checks	2024/7/23	2024/8/30	high
207487	Fedora 40 : python3.8 (2024-6dedbc5cf9)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
207482	Fedora 40 : python3.9 (2024-1e6d6f8452)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
207484	Fedora 39 : python3.9 (2024-7db9258d37)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
211088	Fedora 41 : python3.9 (2024-308628ebb8)	Nessus	Fedora Local Security Checks	2024/11/14	2024/11/14	critical
207482	Fedora 40 : python3.9 (2024-1e6d6f8452)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
207484	Fedora 39 : python3.9 (2024-7db9258d37)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical
203000	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : python312 (SUSE-SU-2024:2572-1)	Nessus	SuSE Local Security Checks	2024/7/23	2024/8/30	high
211212	Fedora 41 : python3.8 (2024-7a069f48e4)	Nessus	Fedora Local Security Checks	2024/11/14	2024/11/14	critical
207487	Fedora 40 : python3.8 (2024-6dedbc5cf9)	Nessus	Fedora Local Security Checks	2024/9/20	2024/9/20	critical

偵測

搜尋 Plugin

critical

high

critical

high

high

high

high

high

critical

critical

critical

critical

critical

critical

high

critical

critical