openSUSE 15 セキュリティ更新: gh (openSUSE-SU-2024:0227-1)
medium Nessus プラグイン ID 204823
Language:
概要
リモートの openSUSE ホストに、セキュリティ更新プログラムがありません。説明
リモートの openSUSE 15 ホストにインストールされているパッケージは、openSUSE- SU-2024:0227-1 のアドバイザリに記載されている脆弱性の影響を受けます。バージョン 2.53.0 への更新:
* CVE-2024-6104: gh: hashicorp/go-retryablehttp: url が機密情報をログファイルに書き込む可能性がある (boo#1227035)
* https://github.com/cli/cli/issues/8928* のため、「TestGetTrustedRoot/successfully_verifies_TUF_root」テストを無効にする。パッケージディレクトリとファイルの名前を変更
* パッケージ名を「update_branch」に変更
*「gh pr update」の名前を「gh pr update-branch」に変更
* マージコンフリクトエラーのテストケースを追加
* マージコンフリクトエラーを処理
* PR がマージ可能でない場合はエラーを返す
*「Mergeable」フィールド値のリテラルを consts に置き換える
*「PullRequest.Mergeable」フィールドに別のタイプを追加
* 未使用のフラグを削除
* stderr の代わりに stdout にメッセージを出力
* エディターが非 tty モードで使用される場合にエラーが発生する
* issue および pr view コマンドの JSON フィールドサポートのテストを追加
* docs: 所有者を明確にするために「gh repo create」のドキュメントを更新
* stateReason がリクエストされたときに PR がパニックにならないようにする
*「createdAt」フィールドをテストに追加
*「createdAt」フィールドを「Variable」タイプに追加
* JSON としてエクスポートするためのテストを追加
* JSON 出力のテストを追加
* 選択したリポジトリ情報のみを JSON 出力に入力
* JSON エクスポーターが設定されることを検証するテストを追加
*「--json」オプションのサポートを追加
*「shared」パッケージで定義された「Variable」タイプを使用
* JSON 出力のテストを追加
*「Variable」タイプおよび「PopulateSelectedRepositoryInformation」関数を shared に移動
* クエリパラメーター名を修正
* ref 比較ステップを説明するためにテストを更新
* クエリ変数名を改善
* PR ブランチがすでに最新であるかどうかをチェックする
*「ComparePullRequestBaseBranchWith」関数を追加
*「go mod tidy」を実行
*「--repo」が空でないセレクターを必要とすることを検証するテストを追加
*「--repo」オーバーライドが使用される場合は空でないセレクターが必要
*「go mod tidy」を実行
*「update」コマンドを登録
*「pr update」コマンドのテストを追加
*「pr update」コマンドを追加
*「UpdatePullRequestBranch」メソッドを追加
*「shurcooL/githubv4」をアップグレード
バージョン 2.52.0 への更新:
* 認証検証 - バッファ修正
* 認証トップレベルコマンドからベータノートを削除
*「gh at download」からベータノートを削除。
*「gh at verify」からベータノートを削除し、再利用可能なワークフローのユースケースを明確にした。
*「gh run list」に「-a」フラグを追加
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける gh、gh-bash-completion、gh-fish-completion、gh-zsh-completion パッケージを更新してください。参考資料
https://bugzilla.suse.com/1227035
プラグインの詳細
深刻度: Medium
ID: 204823
ファイル名: openSUSE-2024-0227-1.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2024/7/28
更新日: 2024/7/28
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 4.6
現状値: 3.4
ベクトル: CVSS2#AV:L/AC:L/Au:S/C:C/I:N/A:N
CVSS スコアのソース: CVE-2024-6104
CVSS v3
リスクファクター: Medium
基本値: 5.5
現状値: 4.8
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:gh-zsh-completion, p-cpe:/a:novell:opensuse:gh, p-cpe:/a:novell:opensuse:gh-fish-completion, cpe:/o:novell:opensuse:15.5, p-cpe:/a:novell:opensuse:gh-bash-completion
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/7/27
脆弱性公開日: 2024/6/24
参照情報
CVE: CVE-2024-6104