python 2.7.9 へのこの更新により、以下の問題が修正されます。

- python-2.7-libffi-aarch64.patch：aarch64 用の libffi での引数の渡しが修正されます

2.7.9 に更新するバージョンから：

- Python 3.4 からの ssl モジュールの完全なバックポートが含まれます（PEP466）

- デフォルトで HTTPS 証明書の検証が有効です（PEP476）

- デフォルトで SSLv3 が無効です（bnc#901715）

- ensurepip モジュールがバックポートされています（PEP477）

- 直前のリリースから欠落している複数の CVE が修正されます：
CVE-2013-1752、CVE-2013-1753

- Upstreamed パッチがドロップされています：python-2.7.6-poplib.patch、smtplib_maxline-2.7.patch、xmlrpc_gzip_27.patch

- パッチ python-2.7.3-ssl_ca_path.patch は Python 3 からの ssl モジュールで必要ないため、ドロップされています

- libffi はアップグレード済みの Upstream でした。弊社の変更が含まれているようなので、libffi-ppc64le.diff もドロップされます

- python-2.7-urllib2-localnet-ssl.patch - ssl がない場合に失敗する原因となっていた無条件の「ssl をインポート」が、test_urllib2_localnet から適切に削除されます

- qemu_linux_user モードで test_thread がスキップされます

2.7.8 に更新するバージョンから：

- CGIHTTPServer での CVE-2014-4650 ディレクトリトラバーサルが修正されます

- buffer() での発生する可能性がある CVE-2014-7185（bnc#898572）バッファオーバーフローが、修正されます

logjam のセキュリティの問題を修正するため、DH パラメーターが 2048 ビットに増加されました（bsc#935856）

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新 python パッケージは、セキュリティの脆弱性を修正します。

sock_recvfrom_into() 関数内の境界エラーにより Python のソケットモジュールに脆弱性があることが報告されました。これが悪用され、バッファオーバーフローが引き起こされる可能性があります。これを利用することにより、 socket.recvfrom_info() 関数を使用している Python アプリケーションをクラッシュさせたり、脆弱な Python コードを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります（CVE-2014-1912）。

これは、python パッケージをバージョン 2.7.6 に更新し、ftplib および nntplib モジュールの境界のない readline() 呼び出しによるサービス拒否の欠陥を含めて、その他の複数のバグを修正します（CVE-2013-1752）。

imaplib、poplib、smtplib のモジュールでの、バインドされてない readline() 呼び出しによる、サービス拒否欠陥（CVE-2013-1752）。

python XMLRPC ライブラリでの、gzip 爆弾およびバインドされてない読み取りのサービス拒否欠陥（CVE-2013-1753）。

Python は、不充分な境界チェックによって起こる _json モジュールのバグのために、ユーザーまたは敵対者による任意のプロセスメモリ読み取りに影響を受けやすくなっています。このバグは、配列インデックスで使用する負の値をユーザーが供給できるようにすることで発生します。これにより、scanString 関数をクラッシュさせ、アクセスすることを意図した文字列外のプロセスメモリにアクセスします（CVE-2014-4616）。

CGIHTTPServer Python モジュールが、URL の URL エンコード済みパスセパレータを、適切に処理しません。これにより、攻撃者が CGI スクリプトのソースコードを漏洩させたり、サーバーのドキュメントルートで任意のコードを実行したりする可能性があります（CVE-2014-4650）。

2.7.8 以前の Python は、バッファタイプの整数オーバーフローに対して脆弱です（CVE-2014-7185）。

Python の標準ライブラリの HTTP クライアント（httplib、urllib、urllib2、xmlrpclib）が HTTPS を使用してリソースにアクセスするために使用されるとき、デフォルトでは、証明書は何らトラストストアでチェックされず、証明書のホスト名もリクエストされたホストに対してチェックされません。トラストルートでチェックするように構成することはできましたが、ホスト名チェックの機能はありませんでした（CVE-2014-9365）。

ビルド依存性が消失していたために、python-pip および tix パッケージが追加されました。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2015:1064 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、高レベル動的データタイプ、動的タイプ指定をサポートしています。python27 コレクションは、MySQL および PostgreSQL 用の多数の追加ユーティリティとデータベースコネクタを備えた Python 2.7 の安定版 (stable) リリースを提供します。

    python27-python パッケージが、アップストリームのバージョン 2.7.8 にアップグレードされています。これは、以前のバージョンに対する多数のバグ修正を提供します。(BZ#1167912)

    python27-python コンポーネントで修正されたセキュリティ上の問題:

    socket.recvfrom_into() 関数が、提供されたバッファのサイズのチェックで失敗していたことが判明しました。関数が十分なサイズでないバッファで呼び出されると、これが原因で、バッファオーバーフローが発生することがあります。
    (CVE-2014-1912)

    Python xmlrpclib モジュールが、gzip 圧縮 HTTP 応答サイズを制限していないことがわかりました。悪意のある XMLRPC サーバーが、xmlrpclib を使用する XMLRPC クライアントに過剰なメモリを消費させる恐れがあります。(CVE-2013-1753)

    ネットワークプロトコル（httplib や smtplib など）を実装する複数の Python 標準ライブラリモジュールが、サーバー応答のサイズを制限することに失敗することが、見つかりました。悪意のあるサーバーにより、影響を受けるモジュールの 1 つを使用するクライアントによって、過剰な量のメモリが消費されることがあります。(CVE-2013-1752)

    CGIHTTPServer モジュールが、エンコードされた URL パスを間違って処理していたことが判明しました。リモートの攻撃者がこの欠陥を利用して、cgi-bin ディレクトリ以外のスクリプトを実行したり、cgi-bin ディレクトリのスクリプトのソースコードを漏洩したりする可能性があります。(CVE-2014-4650)

    buffer() 関数がオフセットやサイズの引数を処理する方法で、整数オーバーフローの欠陥が見つかりました。これらの引数をコントロールできる攻撃者が、この欠陥を利用して、アプリケーションのメモリの一部を漏洩したり、クラッシュさせたりする可能性があります。(CVE-2014-7185)

    python27-python および python27-python-simplejson コンポーネントで修正されたセキュリティ上の問題:

    json モジュールがネガティブなインデックス引数を特定の関数（raw_decode() など）に渡す方法で、欠陥が見つかりました。影響を受けた関数の 1 つに渡されたインデックス値を制御することのできる攻撃者が、この欠陥を悪用し、アプリケーションメモリの一部を漏洩する恐れがあります。(CVE-2014-4616)

    また、この更新は以下の拡張機能も追加します。

    * python27 ソフトウェアコレクションに、python-wall モジュールと python-pip モジュールが含まれるようになりました。(BZ#994189、BZ#1167902)

    python27 の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの強化を追加することが推奨されます。この更新を有効にするには、python27 の実行中のインスタンスをすべて再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

python用のこの更新は、次の問題を修正します：

バージョン2.7.17に更新しました。これは、openSUSE：FactoryとSLEのバージョン間でパッケージを統一するためです（bsc#1159035）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	Name	Product	Family	Published	Updated	Severity
85250	SUSE SLED12 / SLES12 セキュリティ更新：python （SUSE-SU-2015:1344-1）	Nessus	SuSE Local Security Checks	8/6/2015	1/6/2021	critical
82328	Mandriva Linux セキュリティアドバイザリ：python（MDVSA-2015:075）	Nessus	Mandriva Local Security Checks	3/30/2015	1/6/2021	high
210167	RHEL 6 / 7 : python27 (RHSA-2015:1064)	Nessus	Red Hat Local Security Checks	11/4/2024	9/1/2025	critical
133259	SUSE SLED15 / SLES15セキュリティ更新プログラム：python3（SUSE-SU-2020:0234-1）（BEAST）（httpoxy）	Nessus	SuSE Local Security Checks	1/27/2020	3/28/2024	critical

Detections

Analytics

Plugins Search

critical

high

critical

critical