Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - python-socketio 是 Socket.IO 即時用戶端和伺服器的 Python 實作。在 5.14.0 之前的 python-socketio 版本中存在一個遠端程式碼執行弱點，允許攻擊者在多伺服器部署中透過惡意的 pickle 還原序列化執行任意 Python 程式碼，前提是攻擊者已經獲得伺服器之間用於內部通訊的訊息佇列存取權。當 Socket.IO 伺服器設為使用訊息佇列後端 (如 Redis) 進行伺服器間通訊時，在伺服器之間傳送的訊息會使用 Python 模組「pickle」進行編碼。當伺服器透過訊息佇列收到其中一個訊息時，會假設該訊息是受信任的，並立即將其還原序列化。此弱點是因為使用 Python 的「pickle.loads()」函式將訊息還原序列化所致。先前取得訊息佇列存取權的攻擊者可透過 Python 的「__reduce__」方法，將特製的 pickle 承載傳送給 python-socketio 伺服器，其可在還原序列化期間執行任意程式碼。此弱點只會影響訊息佇列受到入侵的部署。此攻擊可能導致攻擊者在 Socket.IO 伺服器處理程序的上下文中以其權限執行任意程式碼。不使用訊息佇列的單一伺服器系統，以及具有安全訊息佇列的多伺服器系統不會受到影響。除了確保在部署訊息佇列時遵循標準安全性做法，python-socketio 套件的使用者也可以升級至 5.14.0 版或更新版本，這些版本已移除「pickle」模組，並改用更安全的 JSON 編碼作為伺服器間訊息傳遞方式。(CVE-2025-61765)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - python-socketio 是 Socket.IO 实时客户端和服务器的 Python 实现。在低于 5.14.0 的 python-socketio 版本中存在远程代码执行漏洞，在攻击者此前已获得服务器间用于内部通信的消息队列访问权限的多服务器部署环境中，这个漏洞允许攻击者通过恶意的 pickle 反序列化执行任意 Python 代码。当 Socket.IO 服务器被配置为使用诸如 Redis 之类的消息队列后端来进行服务器间通信时，服务器之间发送的消息是使用 Python 的 pickle 模块进行编码的。当服务器通过消息队列接收到其中一条消息时，它会假定该消息是可信的，并立即对其进行反序列化。漏洞的根源在于使用 Python 的 pickle.loads() 函数对消息进行反序列化。攻击者如果事先获得了对消息队列的访问权限，就可以向 python-socketio 服务器发送特制的 pickle 负载，在反序列化过程中通过 Python 的 __reduce__ 方法执行任意代码。该漏洞仅影响消息队列已遭到入侵的部署环境。此类攻击可能导致攻击者在 Socket.IO 服务器进程的上下文中以其权限执行任意代码。不使用消息队列的单服务器系统，以及使用安全消息队列的多服务器系统，不受此漏洞影响。除了确保在消息队列部署中遵循标准安全实践外，python-socketio 包的用户还可以升级到 5.14.0 或更新的版本，该版本移除了对 pickle 模块的使用，并改用安全性更高的 JSON 编码进行服务器间消息传递。(CVE-2025-61765)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - python-socketio is a Python implementation of the Socket.IO realtime client and server. A remote code     execution vulnerability in python-socketio versions prior to 5.14.0 allows attackers to execute arbitrary     Python code through malicious pickle deserialization in multi-server deployments on which the attacker     previously gained access to the message queue that the servers use for internal communications. When     Socket.IO servers are configured to use a message queue backend such as Redis for inter-server     communication, messages sent between the servers are encoded using the `pickle` Python module. When a     server receives one of these messages through the message queue, it assumes it is trusted and immediately     deserializes it. The vulnerability stems from deserialization of messages using Python's `pickle.loads()`     function. Having previously obtained access to the message queue, the attacker can send a python-socketio     server a crafted pickle payload that executes arbitrary code during deserialization via Python's     `__reduce__` method. This vulnerability only affects deployments with a compromised message queue. The     attack can lead to the attacker executing random code in the context of, and with the privileges of a     Socket.IO server process. Single-server systems that do not use a message queue, and multi-server systems     with a secure message queue are not vulnerable. In addition to making sure standard security practices are     followed in the deployment of the message queue, users of the python-socketio package can upgrade to     version 5.14.0 or newer, which remove the `pickle` module and use the much safer JSON encoding for inter-     server messaging. (CVE-2025-61765)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 42 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-96c38634c7 advisory.

    **Release 5.14.1** - 2025-10-02

    - Restore support for `rediss://` URLs, and add support for `valkeys://` as well
    - Add support for Redis connections using unix sockets

    **Release 5.14.0** - 2025-09-30

    - Replace pickle with json in message queue communications
    - Add support for Valkey in the Redis client managers
    - Keep track of which namespaces failed to connect
    - Fixed transport property of the simple clients to be a string as documented
    - SimpleClient.call does not raise `TimeoutError` on timeout
    - Wait for client to end background tasks on disconnect
    - Better error logging for the Redis managers
    - Channel was not properly initialized in several pubsub client managers
    - Add message queue deployment recommendations for security
    - Add missing `async` on session examples for the async server
    - Add SPDX license identifier


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - python-socketio は Socket.IO リアルタイムクライアントおよびサーバーの Python 実装です。5.14.0 より前のバージョンの python-socketio のリモートコード実行の脆弱性により、サーバーが内部通信に使用するメッセージキューへのアクセス権を攻撃者が以前取得していたマルチサーバー展開で、悪意ある pickle 逆シリアル化を通じて任意の Python コードを実行することが可能です。Socket.IO サーバーがサーバー間通信に Redis などのメッセージキューバックエンドを使用するように構成されている場合、サーバー間で送信されるメッセージは「pickle」Python モジュールを使用してエンコードされます。サーバーがメッセージキュー経由でこれらのメッセージのいずれかを受信すると、そのメッセージは信頼できるメッセージであると仮定されてすぐに逆シリアル化されます。この脆弱性は、Python の「pickle.loads()」関数を使用するメッセージの逆シリアル化から生じます。メッセージキューへのアクセス権を以前取得していた攻撃者は、Python の「__reduce__」メソッドを介して逆シリアル化中に任意のコードを実行する細工を施した pickle ペイロードを python-socketio サーバーに送信できます。この脆弱性は、侵害されたメッセージキューのあるデプロイメントにのみ影響します。この攻撃によって、攻撃者が Socket.IO サーバープロセスのコンテキスト、および権限でランダムコードを実行する可能性があります。メッセージキューを使用しないシングルサーバーシステム、および安全なメッセージキューを使用するマルチサーバーシステムは脆弱ではありません。メッセージキューのデプロイメントで標準的なセキュリティプラクティスに必ず従うようにすることに加えて、python-socketio パッケージのユーザーはバージョン 5.14.0 またはそれ以降にアップグレードできます。これにより、「pickle」モジュールが削除され、はるかに安全な JSON エンコーディングがサーバー間のメッセージングに使用されます。CVE-2025-61765

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2025-96c38634c7 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    **リリース 5.14.1** - 2025 年 10 月 2 日

    - 「rediss://」URL のサポートを復元し、「valkeys://」のサポートも追加します
    - unix ソケットを使用する Redis 接続のサポートを追加します

    **リリース 5.14.0** - 2025 年 9 月 30 日

    - メッセージキュー通信で pickle を json で置換
    - Redis クライアントマネージャーの Valkey のサポートを追加します
    - 接続に失敗した名前空間を追跡する
    - 単純なクライアントの転送プロパティを文字列にすることを文書化しました
    - SimpleClient.call はタイムアウトで「TimeoutError」を発生させません
    - 切断でクライアントがバックグラウンドタスクを終了するまで待機します
    - Redis マネージャーのエラーログを改善します
    - 複数の pubsub クライアントマネージャーでチャネルが適切に初期化されませんでした
    - セキュリティのためのメッセージキューデプロイメントの推奨事項を追加
    - async サーバーのセッション例で欠落している「async」を追加します
    - SPDX ライセンス識別子を追加します


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
269313	Linux Distros 未修補的弱點：CVE-2025-61765	Nessus	Misc.	10/8/2025	10/14/2025	medium
269313	Linux Distros 未修补的漏洞：CVE-2025-61765	Nessus	Misc.	10/8/2025	10/14/2025	medium
269313	Linux Distros Unpatched Vulnerability : CVE-2025-61765	Nessus	Misc.	10/8/2025	10/14/2025	medium
270070	Fedora 42 : python-socketio (2025-96c38634c7)	Nessus	Fedora Local Security Checks	10/11/2025	10/11/2025	medium
269313	Linux Distros のパッチ未適用の脆弱性: CVE-2025-61765	Nessus	Misc.	10/8/2025	10/14/2025	medium
270070	Fedora 42python-socketio2025-96c38634c7	Nessus	Fedora Local Security Checks	10/11/2025	10/11/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium