リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:3105 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python3.11-cryptography 用の更新が、Red Hat Enterprise Linux 8 で利用できるようになりました。

    Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示す CVSS (共通脆弱性評価システム) ベーススコアは、「参照」セクションの CVE リンクから脆弱性ごとに入手できます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2024-3105 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    [37.0.2-6]
    - CVE-2023-49083 のセキュリティ修正
    - 解決: RHEL-19831

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AHV のバージョンは、20230302.103084 より前です。したがって、NXSA-AHV-20230302.103084 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - libarchive ライブラリ、具体的には archive_read_format_rar_seek_data() 関数内で脆弱性が特定されました。この欠陥には整数オーバーフローが含まれており、最終的に二重解放状態につながる可能性があります。二重解放の脆弱性を悪用するとメモリ破損が発生し、攻撃者は任意のコードを実行するか、サービス拒否状態を引き起こす可能性があります。(CVE-2025-5914)

  - linux-pam に欠陥が見つかりました。モジュール pam_namespace は、適切な保護なしでアクセスユーザーが制御するパスを使用する可能性があります。このため、ローカルユーザーが、複数のシンボリックリンク攻撃と競合状態を通じて、root 権限に昇格することができます。(CVE-2025-6020)

  - cryptography は、Python 開発者向けに暗号のプリミティブとレシピを公開するために設計されたパッケージです。
    「load_pem_pkcs7_certificates」または「load_der_pkcs7_certificates」を呼び出すと、NULL ポインターデリファレンスとセグメンテーション違反が発生する可能性があります。この脆弱性の悪用は、PKCS7 blob/ 証明書を逆シリアル化しようとするアプリケーションにサービス拒否 (DoS) の深刻なリスクをもたらします。その影響は、システムの可用性と安定性の潜在的な崩壊にまで及びます。この脆弱性はバージョン 41.0.6 でパッチが適用されています。(CVE-2023-49083)

  - CPython tarfile モジュールに、TarFile 抽出およびエントリ列挙 API に影響する不具合があります。tar 実装は、負のオフセットを含む tar アーカイブをエラーなく処理してしまい、悪意をもって細工された tar アーカイブの解析中に無限ループやデッドロックが発生する可能性があります。この脆弱性は、tarfile モジュールをインポートした後に、以下のパッチを含めることにより軽減できます:
    https://gist.github.com/sethmlarson/1716ac5b82b73dbcbf23ad2eff8b33e1 (CVE-2025-8194)

  - Libtpms は、TPM 機能のハイパーバイザー (主に Qemu) への統合をターゲットとするライブラリです。Trusted Computing Group によって公開された TPM 2.0 参照実装コードから派生している Libtpms は、潜在的な領域外 (OOB) 読み取りの脆弱性に影響を受けやすくなっています。この脆弱性は、CryptHmacSign 関数において、signKey と signScheme パラメーターの一貫性のない組み合わせで発生します。signKey は ALG_KEYEDHASH キーであり、inScheme は ECC または RSA スキームである場合です。報告されている脆弱性は、Part 4: Supporting Routines Code ドキュメントのセクション 7.151 - /tpm/src/crypt/CryptUtil.c で定義されている CryptHmacSign' 関数にあります。この脆弱性は、ファームウェアが影響を受ける TCG 参照実装に基づいている TPM 2.0/vTPM (swtpm) に悪意あるコマンドを送信することで、ユーザーモードアプリケーションから発生する可能性があります。libtpms への影響としては、検出された範囲外アクセスによりアボートが発生し、たとえば vTPM (swtpm) が VM から利用不可となります。この脆弱性は、0.7.12、0.8.10、0.9.7、および 0.10.1 で修正されています。(CVE-2025-49133)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端主機受到 GLSA-202407-06 中所述的弱點影響 (cryptography：多個弱點)

    在 cryptography 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2025:13101 公告中提及的一個弱點影響。

    Python 是經過解譯的互動式物件導向程式設計語言，包括模組、類別、例外狀況、非常高階的動態資料類型，以及動態輸入。Python 支援許多系統呼叫和程式庫的介面，以及多種 Window 系統的介面。

    安全性修正：

    * python-cryptography：載入 PKCS7 憑證時發生 NULL 指標解除參照 (CVE-2023-49083)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2025:13100 公告中提及的一個弱點影響。

    Python 是經過解譯的互動式物件導向程式設計語言，包括模組、類別、例外狀況、非常高階的動態資料類型，以及動態輸入。Python 支援許多系統呼叫和程式庫的介面，以及多種 Window 系統的介面。

    安全性修正：

    * python-cryptography：載入 PKCS7 憑證時發生 NULL 指標解除參照 (CVE-2023-49083)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機上安裝的套件受到 ELSA-2025-14553 公告中提及的弱點影響。

    [3.2.1-8]
    - 修正 CVE-2023-49083載入 PKCS7 憑證時的 NULL 解除參照解決 RHEL-97452

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 8 主機已安裝一個受到 ALSA-2025:14553 公告中提及的弱點影響的套件。

    * python-cryptography：載入 PKCS7 憑證時發生 NULL 指標解除參照 (CVE-2023-49083)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機上安裝的一個套件受到 ELSA-2025-15874 公告中提及的弱點影響。

    [36.0.1-5]
    - 修正 CVE-2023-49083載入 PKCS7 憑證時的 NULL 解除參照解決 RHEL-97450

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 AHV 低於 20230302.103084 版。因此，它受到 NXSA-AHV-20230302.103084 公告中所提及的多個弱點影響。

  - 在 libarchive 程式庫中 (特別是 archive_read_format_rar_seek_data() 函式內) 發現一個弱點。此瑕疵涉及整數溢位，其最終可導致重複釋放情形。惡意利用重複釋放弱點可導致記憶體損毀，使得攻擊者能夠執行任意程式碼或造成拒絕服務情形。(CVE-2025-5914)

  - 在 linux-pam 中發現一個缺陷。模組 pam_namespace 可能在沒有適當保護的情況下使用存取使用者控制的路徑，進而允許本機使用者透過多個符號連結攻擊和爭用情形，將其權限提升至 root。 (CVE-2025-6020)

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    呼叫「load_pem_pkcs7_certificates」或「load_der_pkcs7_certificates」可導致 NULL 指標解除參照和分割錯誤。惡意利用此弱點會對任何嘗試還原序列化 PKCS7 blob/憑證的應用程式造成嚴重的拒絕服務 (DoS) 風險。其後果延伸至系統可用性和穩定性的潛在中斷。此弱點已在 41.0.6 版本中得到修正。(CVE-2023-49083)

  - CPython tarfile 模組中發現一個缺失，會影響 TarFile 擷取和項目列舉 API。tar 實作會無錯誤地處理具有負位移的 tar 封存，導致在剖析惡意特製的 tar 封存期間無限迴圈和鎖死。您可以在匯入 tarfile 模組後，加入下列修補程式來解決此弱點：
    https://gist.github.com/sethmlarson/1716ac5b82b73dbcbf23ad2eff8b33e1 (CVE-2025-8194)

  - Libtpms 是一個將 TPM 功能整合至 hypervisor (主要是 Qemu) 的程式庫。Libtpms 衍生自 Trusted Computing Group 所發布的 TPM 2.0 參照實作程式碼，容易受到一個潛在的超出邊界 (OOB) 讀取弱點影響。此弱點發生於 CryptHmacSign 函式中：signKey 與 signScheme 參數配對不當，signKey 為 ALG_KEYEDHASH 類型金鑰，但 inScheme 卻指定為 ECC 或 RSA 演算法。報告的弱點位於「CryptHmacSign」函式中，此函式定義於《第 4 部分：支援常式程式碼》檔案第 7.151 節 (路徑：/tpm/src/crypt/CryptUtil.c)。此弱點可由使用者模式應用程式觸發：透過向基於受影響 TCG 參考實作之 TPM 2.0/vTPM (如 swtpm) 韌體傳送惡意指令來利用。對 libtpms 的影響是：觸發越界存取偵測，導致程式中止，例如使 vTPM (swtpm) 對 VM 不可用。此弱點已在 0.7.12、0.8.10、0.9.7 和 0.10.1 中修復。(CVE-2025-49133)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2024:3105 公告中提及的一個弱點影響。

    現已提供適用於 Red Hat Enterprise Linux 8 的 python3.11-cryptography 更新。

    Red Hat 產品安全性團隊已將此更新評等為具有「中等」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機上安裝的套件受到 ELSA-2024-3105 公告中提及的弱點影響。

    [37.0.2-6]
    - CVE-2023-49083 的安全性修正
    - 解決：RHEL-19831

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    呼叫「load_pem_pkcs7_certificates」或「load_der_pkcs7_certificates」可導致 NULL 指標解除參照和分割錯誤。惡意利用此弱點會對任何嘗試還原序列化 PKCS7 blob/憑證的應用程式造成嚴重的拒絕服務 (DoS) 風險。其後果延伸至系統可用性和穩定性的潛在中斷。此弱點已在 41.0.6 版本中得到修正。(CVE-2023-49083)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Ubuntu 20.04 LTS / 22.04 LTS / 23.04 / 23.10 主機上安裝的套件受到 USN-6539-1 公告中所提及的多個弱點影響。

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。在受影響的版本中，`Cipher.update_into` 會接受實作緩衝區通訊協定的 Python 物件，但僅提供不可變的緩衝區。這允許不可變物件 (例如 `bytes`) 發生突變，因而違反 Python 的基本規則並導致輸出損毀。現在，發生此問題時會正確引發例外狀況。自從 cryptography 1.8 中首次引入 `update_into` 以來，此問題就一直存在。
    (CVE-2023-23931)

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    呼叫「load_pem_pkcs7_certificates」或「load_der_pkcs7_certificates」可導致 NULL 指標解除參照和分割錯誤。惡意利用此弱點會對任何嘗試還原序列化 PKCS7 blob/憑證的應用程式造成嚴重的拒絕服務 (DoS) 風險。其後果延伸至系統可用性和穩定性的潛在中斷。此弱點已在 41.0.6 版本中得到修正。(CVE-2023-49083)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 / 9 主機上安裝的一個套件受到 ELSA-2024-12078 公告中提及的弱點影響。

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    呼叫「load_pem_pkcs7_certificates」或「load_der_pkcs7_certificates」可導致 NULL 指標解除參照和分割錯誤。惡意利用此弱點會對任何嘗試還原序列化 PKCS7 blob/憑證的應用程式造成嚴重的拒絕服務 (DoS) 風險。其後果延伸至系統可用性和穩定性的潛在中斷。此弱點已在 41.0.6 版本中得到修正。(CVE-2023-49083)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 7 主機上安裝的套件受到 ELSA-2024-12234 公告中提及的弱點影響。

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    呼叫「load_pem_pkcs7_certificates」或「load_der_pkcs7_certificates」可導致 NULL 指標解除參照和分割錯誤。惡意利用此弱點會對任何嘗試還原序列化 PKCS7 blob/憑證的應用程式造成嚴重的拒絕服務 (DoS) 風險。其後果延伸至系統可用性和穩定性的潛在中斷。此弱點已在 41.0.6 版本中得到修正。(CVE-2023-49083)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
197796	RHEL 8 : python3.11-cryptography (RHSA-2024:3105)	Nessus	Red Hat Local Security Checks	2024/5/23	2025/3/6	critical
198027	Oracle Linux 8 : python3.11-cryptography (ELSA-2024-3105)	Nessus	Oracle Linux Local Security Checks	2024/5/28	2025/9/9	high
277140	Nutanix AHV: 複数の脆弱性 (NXSA-AHV-20230302.103084)	Nessus	Misc.	2025/12/3	2025/12/3	critical
201182	GLSA-202407-06：cryptography：多個弱點	Nessus	Gentoo Local Security Checks	2024/7/1	2024/7/1	critical
243923	RHEL 9python-cryptography (RHSA-2025:13101)	Nessus	Red Hat Local Security Checks	2025/8/6	2025/8/6	high
243927	RHEL 8python-cryptography (RHSA-2025:13100)	Nessus	Red Hat Local Security Checks	2025/8/6	2025/8/6	high
255247	Oracle Linux 8 : python-cryptography (ELSA-2025-14553)	Nessus	Oracle Linux Local Security Checks	2025/8/26	2025/8/26	high
258081	AlmaLinux 8python-cryptography (ALSA-2025:14553)	Nessus	Alma Linux Local Security Checks	2025/8/28	2025/8/28	high
265308	Oracle Linux 9 : python-cryptography (ELSA-2025-15874)	Nessus	Oracle Linux Local Security Checks	2025/9/17	2025/9/17	high
277140	Nutanix AHV：多個弱點 (NXSA-AHV-20230302.103084)	Nessus	Misc.	2025/12/3	2025/12/3	critical
197796	RHEL 8 : python3.11-cryptography (RHSA-2024:3105)	Nessus	Red Hat Local Security Checks	2024/5/23	2025/3/6	critical
198027	Oracle Linux 8：python3.11-cryptography (ELSA-2024-3105)	Nessus	Oracle Linux Local Security Checks	2024/5/28	2025/9/9	high
227344	Linux Distros 未修補的弱點：CVE-2023-49083	Nessus	Misc.	2025/3/5	2025/10/27	high
186623	Ubuntu 20.04 LTS / 22.04 LTS / 23.04 / 23.10：python-cryptography 弱點 (USN-6539-1)	Nessus	Ubuntu Local Security Checks	2023/12/6	2025/9/3	medium
189180	Oracle Linux 8/9：python3.11-cryptography (ELSA-2024-12078)	Nessus	Oracle Linux Local Security Checks	2024/1/18	2025/9/9	high
192387	Oracle Linux 7：python-cryptography (ELSA-2024-12234)	Nessus	Oracle Linux Local Security Checks	2024/3/21	2025/9/9	high

检测

插件搜索

critical

high

critical

critical

high

high

high

high

high

critical

critical

high

high

medium

high

high