python39:3.9 security update

以下項目について対処しました。

[Security Fix]
- Python の urllib.parse.urlsplit() 関数および urlparse() 関数
には、括弧 (`[]`) で囲まれたホスト名の検証処理の不備に起因して、
IPv6 または IPvFuture による通信ではないホストからのアクセスを
許可してしまう問題があるため、リモートの攻撃者により、SSRF
(Server-Side Request Forgery) 攻撃を可能とする脆弱性が存在します。
(CVE-2024-11168)

- CPython の SSLContext.set_npn_protocols() 関数には、空のリスト
("[]") の設定を禁止していないことに起因したメモリ領域の範囲外
読み取りの問題があるため、リモートの攻撃者により、NPN の使用を介して、
サービス拒否攻撃を可能とする脆弱性が存在します。(CVE-2024-5642)

- CPython の venv モジュールおよびコンソールには、仮想環境の作成
時に指定するパス名に引用符を付加しない問題があるため、ローカルの
攻撃者により、細工された仮想環境のアクティベーションスクリプトの
実行を介して、任意のコマンドの実行を可能とする脆弱性が存在します。
(CVE-2024-9287)

- Python の urllib.parse.urlsplit() 標準ライブラリ関数および
urlparse() 標準ライブラリ関数には、RFC 3986 では許容されていない
角括弧を含むドメイン名を処理してしまう問題があるため、リモートの
攻撃者により、細工されたドメイン名の処理を介して、HTTP リクエスト
スマグリング攻撃などを可能とする脆弱性が存在します。
(CVE-2025-0938)

- Python の tarfile モジュールには、リモートの攻撃者により、
巧妙に細工された tar ファイルを介して、ディレクトリトラバーサル
攻撃を可能とする脆弱性が存在します。(CVE-2025-4138)

- Python の tarfile モジュールには、リモートの攻撃者により、
巧妙に細工された tar ファイルを介して、ディレクトリトラバーサル
攻撃を可能とする脆弱性が存在します。(CVE-2025-4330)

- Python の tarfile モジュールには、TarFile.errorlevel が 0 の
場合、ファイルのフィルタ機能が動作しない脆弱性が存在します。
(CVE-2025-4435)

- Python の bytes.decode() 関数には、"unicode_escape"
エンコーディングを指定した場合、もしくはエラーハンドラを指定した
際におけるメモリ領域の解放後利用の不備に起因して入力された文字列を
正しくデコードできない問題があるため、ローカルの攻撃者により、
細工された入力を介して、サービス拒否攻撃や意図しない影響を与える
攻撃を可能とする脆弱性が存在します。(CVE-2025-4516)

- Python の tarfile モジュールには、リモートの攻撃者により、
巧妙に細工された tar ファイルを介して、ディレクトリトラバーサル
攻撃を可能とする脆弱性が存在します。(CVE-2025-4517)

- Python の html.parser.HTMLParser クラスには、正規表現の不備に
起因して意図せず CPU リソースを消費してしまう問題があるため、
リモートの攻撃者により、細工された入力の処理を介して、サービス
拒否攻撃 (CPU リソース枯渇) を可能とする脆弱性が存在します。
(CVE-2025-6069)

- Python の os.path.expandvars() 関数には、CPU リソースの制限を
実施していない問題があるため、ローカルの攻撃者により、ネストする
ように細工された環境変数値による入力を介して、サービス拒否攻撃
(CPU リソース枯渇) を可能とする脆弱性が存在します。
(CVE-2025-6075)

- Python の zipfile モジュールには、ZIP64 End of Central Directory
(EOCD) ロケータレコードのオフセット値の妥当性のチェック処理が欠落
しているため、リモートの攻撃者により、細工された ZIP 形式のアーカイブ
データの処理を介して、不正な ZIP アーカイブの作成を可能とする脆弱性
が存在します。(CVE-2025-8291)

Modularity name: python39
Stream name: 3.9