重要ポイント
- Amazon Linux 2023 の python3.11 に、CVE-2026-115557 と CVE-2026-114583 の修正版が届きました(ALAS2023-2026-3356、2026年10月30日公開、重大度は Medium)
- 修正版は python3.11-3.11.18-1.amzn2023.0.1
- python3.9・3.12・3.13・3.14 は、AWS の CVE ページでまだ Pending Fix(修正待ち)です
- AL2023 の標準の python3 の修正は、公開され次第あらためてお知らせします
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| python3.11(AL2023) | python3.11-3.11.18-1.amzn2023.0.1 より前 | python3.11-3.11.18-1.amzn2023.0.1(ALAS2023-2026-3356) |
| python3.12 / python3.13 / python3.14 / python3.9(AL2023) | — | Pending Fix(公式の修正版は未公開) |
対処: python3.11 を使っている場合は sudo dnf update python3.11(ALAS には --releasever 2023.12.20261102 の記載があります)。そのほかの系列は修正待ちの間、python3 -m pip install -U certifi で certifi を 2026.10.23 以降にしておくのが当面の対処です。
確認: rpm -q python3.11 と python3.11 --version、cat /etc/amazon-linux-release。
概要
10月26日にお伝えした Python の ssl モジュールの修正(CVE-2026-115557)と tarfile の修正(CVE-2026-114583)のうち、Amazon Linux 2023 の python3.11 の修正版が公開されました。ほかの系列(3.9・3.12・3.13・3.14)は、AWS の CVE ページで修正待ちのままです。
影響と対処
影響を受けるもの
| 問題 | AL2023 の対応状況 |
|---|---|
| CVE-2026-115557(ssl・侵害された中間 CA を拒否しない) | python3.11: Fixed(ALAS2023-2026-3356)/ 3.9・3.12・3.13・3.14: Pending Fix |
| CVE-2026-114583(tarfile の展開フィルタの回避) | python3.11: Fixed(ALAS2023-2026-3356)/ 3.9・3.12・3.13・3.14: Pending Fix |
対処方法
python3.11 は上のコマンドで更新します。修正待ちの系列は、公式の修正版が出るまで certifi を最新にし、信頼できない tar ファイルを展開しないようにします。コンテナのイメージ・仮想環境(venv)は更新後に作り直してください。
確認方法
python3 --version と rpm -qa | grep -E "^python3(\.[0-9]+)?-3" で、入っている系列と版を確認します。
対応チェックリスト
- 使っている Python の系列(
python3 --version)を確認する - python3.11 なら
sudo dnf update python3.11で更新する - それ以外の系列は certifi を更新し、AL2023 の修正版の公開を待つ
出典
- ALAS2023-2026-3356(Amazon Linux Security Center・2026年10月30日)
- CVE-2026-115557(AWS・Amazon Linux の CVE ページ)
- 元の記事(セキュリティ トピックス)
