Support technique
Documentation
Connexion
Nous contacter
Ubuntu corrige plusieurs vulnérabilités de Python
Rohan Timalsina
Le 22 juillet 2024 - L'équipe d'experts de TuxCare
Python, un langage de programmation très répandu, fait partie intégrante de nombreux systèmes et applications. Cependant, comme tout logiciel, il peut présenter des vulnérabilités qui posent des risques de sécurité importants. Récemment, Canonical a corrigé 41 vulnérabilités dans le paquetage Python dans diverses versions d'Ubuntu, notamment Ubuntu 23.10, Ubuntu 22.04 LTS, Ubuntu 20.04 LTS et Ubuntu 18.04, 16.04 et 14.04 ESM. Cet article explore certaines des vulnérabilités Python les plus graves qui ont été corrigées et fournit des conseils sur la façon de rester en sécurité.
Vulnérabilités Python corrigées dans Ubuntu
CVE-2021-29921 (Score CVSS v3 : 9.8 Critique)
Une vulnérabilité critique a été découverte dans l'API ipaddress de la bibliothèque standard Python, qui gère incorrectement les chaînes octales. Un attaquant distant peut exploiter ce problème pour contourner certains contrôles d'accès et effectuer une large gamme d'attaques. Ce problème ne concerne que Ubuntu 18.04.
CVE-2022-0391 (Score CVSS v3 : 7.5 Haut)
Cette vulnérabilité implique une mauvaise gestion de certaines entrées par Python. Un attaquant peut potentiellement exécuter du code arbitraire à travers cette faille. Elle n'affecte que les versions Ubuntu 14.04 et Ubuntu 18.04.
CVE-2023-24329 (Score CVSS v3 : 7.5 Haut)
Une autre vulnérabilité a été trouvée concernant le mauvais traitement de certaines entrées par Python. Si un utilisateur ou un système automatisé exécute une entrée spécialement conçue, un attaquant distant peut exploiter cette vulnérabilité pour provoquer un déni de service. Cette vulnérabilité concerne Ubuntu 14.04, Ubuntu 18.04 et Ubuntu 22.04 LTS.
CVE-2022-48565 (Score CVSS v3 : 9.8 Critique)
Cette vulnérabilité est due à une mauvaise gestion par Python des déclarations d'entités XML dans les fichiers plist. Un attaquant peut utiliser cette faille pour réaliser une injection d'entité externe XML (XXE), conduisant à un déni de service ou à la divulgation d'informations. Ce problème ne concerne que Ubuntu 14.04 et Ubuntu 18.04.
CVE-2023-6597 (Score CVSS v3 : 7.8 Haut)
Cette vulnérabilité concerne la gestion incorrecte par Python des liens symboliques dans les fichiers temporaires. Un attaquant peut exploiter ce problème pour modifier les permissions des fichiers. Cette faille affecte Ubuntu 18.04, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, et Ubuntu 23.10.
Pour connaître les autres vulnérabilités de Python qui ont été corrigées, veuillez consulter l'avis de sécurité d'Ubuntu.
Protéger vos systèmes Ubuntu
Compte tenu de la gravité de ces vulnérabilités, il est essentiel de mettre à jour votre installation Python vers la dernière version corrigée dans les plus brefs délais. Si vous ne procédez pas à la mise à jour, votre système peut être exposé à une exploitation potentielle, ce qui compromet sa sécurité. Pour les versions d'Ubuntu prises en charge, vous pouvez mettre à jour le paquetage Python à l'aide du gestionnaire de paquets apt.
Pour les systèmes Ubuntu en fin de vie, les mises à jour de sécurité ne sont disponibles que par le biais d'un abonnement Ubuntu Pro. Cependant, l'Extended Lifecycle Support (ELS) de TuxCare offre une alternative abordable. Il offre cinq années supplémentaires de correctifs de sécurité pour Ubuntu 16.04 et 18.04 au-delà de leur date de fin de vie. L'ELS couvre le noyau Linux, les bibliothèques partagées communes (telles que glibc et OpenSSL), les langages de programmation tels que Python et PHP, ainsi que divers autres paquets.
Vous pouvez trouver une liste des paquets pris en charge par l'Extended Lifecycle Support sur cette page. En outre, vous pouvez suivre l'état de publication des correctifs pour les vulnérabilités dans les différentes versions d'Ubuntu en utilisant notre CVE tracker.
En restant informé et en veillant à ce que vos logiciels soient à jour, vous pouvez contribuer à protéger vos systèmes contre les vulnérabilités critiques et à maintenir un environnement informatique plus sûr.
Sorce : USN-6891-1
