python38:3.8 and python38-devel:3.8 security update

以下項目について対処しました。

[Security Fix]
- pytthon-psutil には、システムデータを Python オブジェクトに変換する while や
for ループ内で参照カウントを誤って取り扱うことが原因で、二重解放が発生する
脆弱性があります。(CVE-2019-18874)

- python-jinja2 には "_punctuation_re regex" 演算子が複数のワイルドカードを使用し、
最後のワイルドカードが句読点の追跡に最も悪用しやすいことから、正規表現による
サービス拒否（ReDoS）が発生する脆弱性があります。
なお、この問題はユーザーコンテンツを urlize フィルターの代わりに Markdown により
フォーマットするか、リクエストのタイムアウトを実装したり、プロセスメモリを
制限することで緩和できます。(CVE-2020-28493)

- python/cpython パッケージ の urllib.parse.parse_qsl と urllib.parse.parse_qs には、
パラメータクローキングと呼ばれる攻撃手法を用いて Web キャッシュポイズニング
攻撃を受ける脆弱性があります。(CVE-2021-23336)

- python-lxml のクリーンモジュールには、safe_attrs_only 引数と forms 引数を無効に
している場合に Cleaner クラスが formaction 属性を削除せず、JavaScript がサニタイザーを
回避できる問題があり、リモートの攻撃者は不適切にサニタイズされた HTML を操作している
ユーザーに任意の JavaScript のコードを実行させることのできる、クロスサイト
スクリプティングの脆弱性があります。(CVE-2021-28957)

- Python の IP アドレスライブラリには IP アドレス文字列のオクテットの先頭にある
"0" を誤って処理する問題があり、特定の場合に攻撃者が IP アドレスをベースにした
アクセス制御をバイパス出来てしまう脆弱性があります。(CVE-2021-29921)

- urllib3 には認証コンポーネント内にたくさんの "@" が含まれている URL が引き渡された際に、
認証の正規表現で壊滅的なバックトラッキングが発生する問題があり、URL がパラメータとして
引き渡されるか、HTTP リダイレクト経由でリダイレクトされた場合にサービス拒否を引き起こす
脆弱性があります。(CVE-2021-33503)

- Python3 の pydoc には、ローカルもしくは隣接した攻撃者によって、他のユーザーや
隣接したユーザーに実行するように仕向けた pydoc サーバーにアクセスすることによって、
攻撃者には権限がないが、他のユーザーに権限が付与されている機密情報を開示させられる
脆弱性があります。 (CVE-2021-3426)

- python-pip には git リファレンスでの Unicode セパレーターの取り扱い方法に問題があり、
リモートの攻撃者はリポジトリに異なるリビジョンをインストールできる脆弱性があります。
(CVE-2021-3572)

- Babel の Babel.Locale にはディレクトリトラバーサルの問題があり、攻撃者によって
シリアライズされた Python オブジェクトを含む ロケール .dat ファイルを読み込ませることに
よって、コードが実行される脆弱性があります。(CVE-2021-42771)

CVE-2021-20095 は CNA によって取り下げられました。

Modularity name: python38
Stream name: 3.8