Linux Distros 未修补的漏洞：CVE-2026-12003
medium Nessus 插件 ID 321379
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- 为了允许从树内布局（而不是安装的文件布局）运行 Python 版本，在构建时定义了 VPATH 变量并用于定位某些地标 - 具体而言，是 Modules/setup.local。当相对于可执行文件的 VPATH 找到此地标时，Python 会假定其正在源树中运行，并生成不同的默认 sys.path。此代码保留在发布版本中，因此可以在树中构建发布就绪版本。在 Windows 中，由于版本被写入“PCbuild/”，VPATH 的值被设置为“..\..“，从而产生标志性标记”..\..\Modules\setup.local'。此路径位于 Python 安装目录外部，并且可能具有不同的权限，从而可能允许低权限用户创建地标和将被其他受限制的安装发现的备用“Lib”文件夹。由于 Windows 允许所有用户在其操作系统驱动器的根目录中创建文件夹，所有用户的旧默认安装位置（在现已被取代的 EXE 安装程序中）都会发生此类设置。我们建议的 Windows 缓解措施是从旧版安装程序迁移，并使用新的 [Python install manager]（https://www.python.org/downloads/latest/pymanager/） 为当前用户安装。比 Python 安装目录高两级的目录具有同等权限的安装不受影响（一般来说，其他用户完全不能修改按用户安装，消除了权限升级风险，而且可以被特权用户直接修改，因此潜在的篡改无关紧要）。替代缓解措施可能包括抢先创建和限制对“Modules”目录的访问。请注意，仅3.133.14会收到更新后的旧安装程序 - 早期补丁仅作为来源提供。Windows 以外的平台允许重写 VPATH，但由于其通常不会在针对二进制文件的版本中使用单独的目录，因此不太可能在安装目录外部具有标志性引用。涉及 VPATH 的地标检测是缺少更具体地标 （.\pybuilddir.txt） 时的回退，并且为了兼容性而将其包含在内。Python 的未来版本将不再包含回退，因此版本将需要生成或保留pybuilddir.txt文件才能在树中工作。此具有里程碑意义的文件已在 Windows 上 3.11生成，并且在其他平台上生成时间更长。（CVE-2026-12003）
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 321379
文件名: unpatched_CVE_2026_12003.nasl
版本: 1.2
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/6/17
最近更新时间: 2026/6/20
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: High
分数: 8.4
CVSS v2
风险因素: Medium
基本分数: 6.2
时间分数: 5.3
矢量: CVSS2#AV:L/AC:H/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-12003
CVSS v3
风险因素: High
基本分数: 7
时间分数: 6.4
矢量: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
风险因素: Medium
Base Score: 5.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:canonical:ubuntu_linux:cython, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, p-cpe:/a:debian:debian_linux:python3.14, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, p-cpe:/a:debian:debian_linux:python3.9, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, p-cpe:/a:debian:debian_linux:python3.13, cpe:/o:debian:debian_linux:13.0, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:14.0, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, p-cpe:/a:debian:debian_linux:python3.11
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/6/16
参考资料信息
CVE: CVE-2026-12003