python39:3.9 and python39-devel:3.9 security update

以下項目について対処しました。

[Security Fix]
- python-lxml のクリーンモジュールには、safe_attrs_only 引数と forms
引数を無効にしている場合に Cleaner クラスが formaction 属性を削除せず、
JavaScript がサニタイザーを回避できる問題があり、リモートの攻撃者は不
適切にサニタイズされた HTML を操作しているユーザーに任意の JavaScript
のコードを実行させることのできる、クロスサイトスクリプティングの脆弱性
があります。(CVE-2021-28957)

- Python の IP アドレスライブラリには IP アドレス文字列のオクテットの
先頭にある "0" を誤って処理する問題があり、特定の場合に攻撃者が IP ア
ドレスをベースにしたアクセス制御をバイパス出来てしまう脆弱性があります。
(CVE-2021-29921)

- urllib3 には認証コンポーネント内にたくさんの "@" が含まれているURL
が引き渡された際に、認証の正規表現で壊滅的なバックトラッキングが発生す
る問題があり、URL がパラメータとして引き渡されるか、HTTP リダイレクト
経由でリダイレクトされた場合にサービス拒否を引き起こす脆弱性があります。
(CVE-2021-33503)

- Python3 の pydoc には、ローカルもしくは隣接した攻撃者によって、他の
ユーザーや隣接したユーザーに実行するように仕向けた pydoc サーバーにア
クセスすることによって、攻撃者には権限がないが、他のユーザーに権限が付
与されている機密情報を開示させられる脆弱性があります。 (CVE-2021-3426)

- python-pip には git リファレンスでの Unicode セパレーターの取り扱い
方法に問題があり、リモートの攻撃者はリポジトリに異なるリビジョンをイン
ストールできる脆弱性があります。(CVE-2021-3572)

現時点では CVE-2021-3733、CVE-2021-3737の情報が公開されておりません。
CVE の情報が公開され次第情報をアップデートいたします。

Modularity name: python39
Stream name: 3.9