重要ポイント
- Amazon Linux 2023 の python3.12・python3.13 に、CVE-2026-115557(ssl)と CVE-2026-114583(tarfile)などの修正版が届きました(ALAS2023-2026-3407・3408、2026年11月9日公開、重大度は Medium)
- 修正版は python3.13-3.13.18-1.amzn2023.0.1 と python3.12-3.12.16-2.amzn2023.0.1(
--releasever 2023.12.20261109) - AWS の CVE ページでは python3.14 も Fixed(ALAS2023-2026-3406)。python3.9(標準の python3)は Pending Fix(修正待ち)のままです
- 10月30日の python3.11(ALAS2023-2026-3356)に続く更新です
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| python3.13(AL2023) | python3.13-3.13.18-1.amzn2023.0.1 より前 | python3.13-3.13.18-1.amzn2023.0.1(ALAS2023-2026-3407) |
| python3.12(AL2023) | python3.12-3.12.16-2.amzn2023.0.1 より前 | python3.12-3.12.16-2.amzn2023.0.1(ALAS2023-2026-3408) |
| python3.14(AL2023) | AWS の CVE ページで Fixed | ALAS2023-2026-3406(パッケージの版は未確認) |
| python3.9(標準の python3、AL2023) | — | Pending Fix(公式の修正版は未公開) |
対処: sudo dnf update python3.12 python3.13(使っている系列だけで構いません)。ALAS には --releasever 2023.12.20261109 の記載があります。python3.9 は修正待ちの間、python3 -m pip install -U certifi で certifi を 2026.10.23 以降にしておくのが当面の対処です。
確認: rpm -q python3.12 python3.13、python3 --version、cat /etc/amazon-linux-release。
概要
10月31日にお伝えした Python の ssl モジュールの修正(CVE-2026-115557)と tarfile の修正(CVE-2026-114583)のうち、Amazon Linux 2023 の python3.12・python3.13 の修正版が公開されました。標準の python3(3.9)はまだ修正待ちです。
影響と対処
影響を受けるもの
| 問題 | AL2023 の対応状況 |
|---|---|
| CVE-2026-115557(ssl・侵害された中間 CA を拒否しない) | python3.11・3.12・3.13・3.14: Fixed / python3.9: Pending Fix |
| CVE-2026-114583(tarfile の展開フィルタの回避) | python3.11・3.12・3.13・3.14: Fixed / python3.9: Pending Fix |
ALAS2023-2026-3407・3408 には、tempfile.TemporaryDirectory の競合状態(CVE-2026-12345)の修正も記載されています。
どんな問題か
Python 標準ライブラリの ssl が、侵害された中間 CA の証明書を拒否しない問題と、tarfile の展開フィルタを回避できる問題です。詳しくは元の記事をご覧ください。攻撃の手順は書きません。
対処方法
python3.12・python3.13 を使っている場合は、上のコマンドで更新します。標準の python3(3.9)は修正待ちの間、certifi を最新にし、信頼できない tar ファイルを展開しないようにします。コンテナのイメージ・仮想環境(venv)は更新後に作り直してください。
確認方法
python3 --version と rpm -qa | grep -E "^python3(\.[0-9]+)?-3" で、入っている系列と版を確認します。
対応チェックリスト
- 使っている Python の系列(
python3 --version)を確認する - python3.12・3.13 なら
sudo dnf updateで修正版にする - python3.9 は certifi を更新し、AL2023 の修正版の公開を待つ
出典
- ALAS2023-2026-3407(Amazon Linux Security Center・2026年11月9日)
- ALAS2023-2026-3408(同・2026年11月9日)
- CVE-2026-115557(AWS・Amazon Linux の CVE ページ)
- 元の記事(セキュリティ トピックス)
