JVNDB-2011-005124

Python におけるユーザ名およびパスワードを取得される脆弱性

Python は、~/.pypirc にデータが書き込まれた後、変更するまでのパーミッションが world-readable パーミッション (誰でも読み取り可能な権限) であるため、競合状態が発生することにより、ユーザ名およびパスワードを取得される脆弱性が存在します。

Python Software Foundation

• Python 2.6 から 3.2

VMware

• VMware ESX 3.5
• VMware ESX 4.0
• VMware ESX 4.1

アップル

• Apple Mac OS X 10.9 未満

ローカルユーザにより、~/.pypirc ファイルを読まれることで、ユーザ名およびパスワードを取得される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Debian

• Debian Bug report logs : #650555

Python Software Foundation

• Python : Issue13512
• Python : create the .pypirc securely

VMware

• VMware Security Advisories : VMSA-2012-0016

アップル

• Apple Mailing Lists : APPLE-SA-2013-10-22-3
• Apple Security Updates : HT6011
• Apple セキュリティアップデート : HT6011

レッドハット

• Red Hat Bugzilla : Bug 758905

1. 認可・権限・アクセス制御(CWE-264) [NVD評価]

1. CVE-2011-4944

1. JVN : JVNVU#95174988
2. National Vulnerability Database (NVD) : CVE-2011-4944

• [2012年08月29日]
    掲載
  [2012年12月26日]
    影響を受けるシステム：VMware (VMSA-2012-0016) の情報を追加
    ベンダ情報：VMware (VMSA-2012-0016) を追加
  [2013年11月01日]
    影響を受けるシステム：アップル (HT6011) の情報を追加
    ベンダ情報：アップル (HT6011) を追加
    ベンダ情報：アップル (APPLE-SA-2013-10-22-3) を追加
    参考情報：JVN (JVNVU#95174988) を追加