Azure Linux 3.0 セキュリティ更新ghCVE-2024-54132

medium Nessus プラグイン ID 216093

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Azure Linux 3.0 ホストにインストールされている gh のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2024-54132 のアドバイザリに記載されている脆弱性の影響を受けます。

- GitHub CLI は、GitHub の公式コマンドラインツールです。ユーザーが gh run download を通じて悪意ある GitHub Actions ワークフローアーティファクトをダウンロードした場合に、意図しないディレクトリでファイルが作成または上書きされる可能性がある、セキュリティの脆弱性が GitHub CLI で特定されました。この脆弱性は、gh run download を使用してダウンロードされた場合、 .. という名前の GitHub Actions ワークフローアーティファクトに起因します。アーチファクトの名前と --dir フラグは、アーチファクトのダウンロードパスを決定するために使用されます。アーチファクトに .. という名前が付けられると、その結果生じるアーチファクト内のファイルは、指定された --dir フラグ値よりも正確に 1 ディレクトリ高く抽出されます。この脆弱性は 2.63.1 で修正されました。(CVE-2024-54132)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。