リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:1094-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2021:4455 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python-pip: git 参照における unicode セパレーターの不適切な処理 (CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15/SLES15 ホストには、SUSE-SU-2021:4002-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES12ホストにインストールされているパッケージは、SUSE- SU-2021: 4051-1 アドバイザリに記載されている脆弱性の影響を受けます。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:4002-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1598-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15/SLES15 ホストには、SUSE-SU-2022:0064-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:2351-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.10.8までの Python (別名 CPython) では、mailcap モジュールは、システム mailcap ファイルで発見されたコマンドにエスケープ文字を追加しません。これにより、攻撃者が、信頼できない入力で mailcap.findmatch を呼び出すアプリケーションにシェルコマンドを注入する可能性があります (ユーザー指定のファイル名または引数の検証がない場合)。この修正は 3.7、3.8、3.9 にもバックポートされています (CVE-2015-20107)

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRocky Linux 8ホストには、RLSA-2021:4162アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.6.5 までの psutil (別名 python-psutil) では、二重解放が発生する可能性があります。これは、システムデータを Python オブジェクトに変換する while または for ループ内の refcount の不適切な処理が原因で発生します。(CVE-2019-18874)

  - 3.9.0までのPython 3では、Lib/test/multibytecodec_support.py CJK コーデックテストは、HTTP経由で取得したコンテンツに対するeval()を呼び出します。(CVE-2020-27619)

  - これは 0.0.0 から、および 2.11.3 より前のパッケージ jinja2 に影響を与えます。ReDoS の脆弱性は主に、「_ punctuation_re regex」演算子と複数のワイルドカードの使用によるものです。最後のワイルドカードは、末尾の句読点を検索するため、最も悪用されやすいものです。この問題は、Markdown で緩和できます。これにより、urlize フィルターの代わりにユーザーコンテンツをフォーマットするか、リクエストタイムアウトを実装してプロセスメモリを制限します。(CVE-2020-28493)

  0～3.6.13、3.7.0～3.7.10、3.8.0～3.8.8、3.9.0～3.9.2のパッケージpython / cpythonは、パラメータークローキングと呼ばれるベクトルを使用したurllib.parse.parse_qslおよびurllibによるWebキャッシュポイズニングに対して脆弱です。攻撃者がセミコロン (;) でクエリパラメーターを区切ることができる場合、プロキシ (デフォルトの構成で実行) とサーバーの間でリクエストの解釈に違いを引き起こすことができる可能性があります。これにより、悪意のあるリクエストが完全に安全なものとしてキャッシュされる可能性があります。これは、プロキシは通常、セミコロンを区切り文字として認識しないため、キーのないパラメーターのキャッシュキーにセミコロンを含めないためです。（CVE-2021-23336）

  - 4.6.3より前のバージョンの python-lxml の clean モジュールに XSS の脆弱性が見つかりました。safe_attrs_onlyとフォームの引数を無効にするとき、Cleanerクラスはformaction属性を削除しないため、JSがサニタイザーをバイパスする可能性があります。リモートの攻撃者がこの欠陥を悪用して、不適切にサニタイズされたHTMLとやり取りするユーザーに対して任意のJSコードを実行する可能性があります。この問題は、lxml 4.6.3でパッチされています。
    (CVE-2021-28957)

  - 3、9、5 より前の Python では、ipaddress ライブラリが、IP アドレス文字列のオクテットの先行ゼロ文字を不適切に処理します。これにより、攻撃者が IP アドレスに基づくアクセス制御をバイパスする可能性があります。(CVE-2021-29921)

  - 1.26.5 より前の urllib3 で問題が見つかりました。権限コンポーネントに多くの @ 文字を含む URL が提供されると、権限の正規表現は壊滅的なバックトラックを示し、URL がパラメーターとして渡されるか、HTTP リダイレクトを介してリダイレクトされた場合、サービス拒否が発生します。
    (CVE-2021-33503)

  -Python 3 の pydoc に欠陥があります。別のローカルまたは隣接するユーザーを発見または誘導し、pydoc サーバーを起動させることが可能なローカルまたは隣接する攻撃者が、そのサーバーにアクセスして利用し、通常はアクセスできない他のユーザーに属する秘密情報を漏洩させる可能性があります。この欠陥の最も高いリスクは、データの機密性です。この欠陥は、3.8.9 より前の Python のバージョン、3.9.3 より前の Python のバージョン、および 3.10.0a7 より前の Python のバージョンに影響を与えます。(CVE-2021-3426)

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

  - 2.9.1より前の Babel の Babel.Locale では、攻撃者がディレクトリトラバーサルを介して任意のロケールの .dat ファイル (シリアル化された Python オブジェクトを含む) をロードし、コードを実行する可能性があります。(CVE-2021-42771)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの CentOS Linux 8 ホストにインストールされているパッケージは、CESA-2021: 4160 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-lxml：formaction HTML5属性の入力サニタイズが欠落しているため、XSSが引き起こされる可能性があります (CVE-2021-28957)

  -python-ipaddress：8進文字列の不適切な入力検証 (CVE-2021-29921)

  - python-urllib3: URLの権限部分の解析におけるReDoS (CVE-2021-33503)

  - python：pydocによる情報漏洩 (CVE-2021-3426)

  - python-pip: git参照におけるunicodeセパレーターの不適切な処理 (CVE-2021-3572)

  - python：urllib: AbstractBasicAuthHandlerの正規表現のDoS (CVE-2021-3733)

  - python: urllib: 100 Continue 応答時の HTTP クライアント無限ループの可能性 (CVE-2021-3737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2021: 4160 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-lxml：formaction HTML5属性の入力サニタイズが欠落しているため、XSSが引き起こされる可能性があります (CVE-2021-28957)

  -python-ipaddress：8進文字列の不適切な入力検証 (CVE-2021-29921)

  - python-urllib3: URLの権限部分の解析におけるReDoS (CVE-2021-33503)

  - python：pydocによる情報漏洩 (CVE-2021-3426)

  - python-pip: git参照におけるunicodeセパレーターの不適切な処理 (CVE-2021-3572)

  - python：urllib: AbstractBasicAuthHandler の正規表現の DoS (CVE-2021-3733)

  - python で欠陥が見つかりました。python の HTTP クライアントコードで HTTP 応答が不適切に処理されるため、HTTP サーバーをコントロールするリモート攻撃者が、クライアントスクリプトを無限ループに陥らせ、CPU 時間を消費する可能性があります。この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-3737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - python-pip が git 参照で Unicode セパレーターを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの問題を利用して、別のリビジョンをリポジトリにインストールする可能性があります。この脆弱性からの最大の脅威は、データの整合性です。python-pip バージョン 21.1では修正されています。(CVE-2021-3572)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、11.1.7 FP8、11.2.4 FP3、または 12.0.2 より前です。したがって、IBM Security Bulletin No. 7123154 に記載されている次のような複数の脆弱性の影響を受けます。

  - 信頼できないデータまたは破損したデータを逆シリアル化する場合、リーダーが許可された制約を超えてメモリを消費し、システムのメモリ不足を引き起こす可能性があります。この問題は、1.11.2 までの Apache Avro Java SDK を使用する Java アプリケーションに影響します。ユーザーは、この問題に対処する apache-avro バージョン 1.11.3 に更新する必要があります。(CVE-2023-39410)

  - SM2 暗号化データを復号するには、アプリケーションが API 関数 EVP_PKEY_decrypt() を呼び出す必要があります。通常、アプリケーションはこの関数を 2 回呼び出します。初回の入力時点では「out」パラメーターは NULL にできます。また終了時点で outlen パラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt() を再び呼び出すことができますが、今回、「out」パラメーターに NULL 以外の値が渡されました。SM2 復号化コードの実装におけるバグにより、EVP_PKEY_decrypt() の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2 回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションが EVP_PKEY_decrypt() を 2 回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。(CVE-2021-3711)

  - SnakeYaml の Constructor() クラスは、逆シリアル化中にインスタンス化できるタイプを制限しません。
  攻撃者が提供した yaml コンテンツを逆シリアル化すると、リモートでコードが実行される可能性があります。信頼できないコンテンツを解析して逆シリアル化を制限するときは、SnakeYaml の SafeConsturctor を使用することをお勧めします。バージョン 2.0 以降にアップグレードすることをお勧めします。(CVE-2022-1471)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
159502	SUSE SLES12 セキュリティ更新プログラム: python36 (SUSE-SU-2022:1094-1)	Nessus	SuSE Local Security Checks	2022/4/5	2023/7/13	medium
155082	RHEL 8 : python-pip (RHSA-2021:4455)	Nessus	Red Hat Local Security Checks	2021/11/11	2025/3/15	medium
156047	SUSE SLED15/ SLES15セキュリティ更新プログラム: python-pip (SUSE-SU-2021:4002-1)	Nessus	SuSE Local Security Checks	2021/12/14	2023/7/13	medium
156081	SUSE SLES12セキュリティ更新プログラム: python-pip (SUSE-SU-2021:4051-1)	Nessus	SuSE Local Security Checks	2021/12/15	2023/7/13	medium
156141	openSUSE 15 セキュリティ更新: python-pip (openSUSE-SU-2021:4002-1)	Nessus	SuSE Local Security Checks	2021/12/17	2021/12/17	medium
156192	openSUSE 15 セキュリティ更新 : python-pip (openSUSE-SU-2021:1598-1)	Nessus	SuSE Local Security Checks	2021/12/20	2021/12/20	medium
156704	SUSE SLED15/ SLES15セキュリティ更新プログラム：python39-pip (SUSE-SU-2022:0064-1)	Nessus	SuSE Local Security Checks	2022/1/13	2023/7/14	medium
163009	SUSE SLES15 セキュリティ更新プログラム: python3 (SUSE-SU-2022:2351-1)	Nessus	SuSE Local Security Checks	2022/7/12	2023/7/13	high
184819	Rocky Linux 8python38:3.8およびpython38-devel:3.8RLSA-2021:4162	Nessus	Rocky Linux Local Security Checks	2023/11/7	2024/1/16	critical
155040	CentOS 8 : python39: 3.9 and python39-devel: 3.9 (CESA-2021: 4160)	Nessus	CentOS Local Security Checks	2021/11/11	2023/11/24	critical
155200	RHEL 8: python39: 3.9 and python39-devel: 3.9 (RHSA-2021: 4160)	Nessus	Red Hat Local Security Checks	2021/11/11	2025/3/15	critical
224001	Linux Distros のパッチ未適用の脆弱性: CVE-2021-3572	Nessus	Misc.	2025/3/5	2025/8/21	medium
193868	IBM Cognos Analytics 11.1.1 < 11.1.7 FP8 / 11.2.x < 11.2.4 FP3 / 12.0.x < 12.0.2 (7123154)	Nessus	CGI abuses	2024/4/25	2024/12/18	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

high

critical

critical

critical

medium

critical