Azure Linux 3.0 セキュリティ更新ghCVE-2025-25204

medium Nessus プラグイン ID 295693

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Azure Linux 3.0 ホストにインストールされている gh のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2025-25204 のアドバイザリに記載されている脆弱性の影響を受けます。

- 「gh」は GitHub の公式コマンドラインツールです。バージョン 2.49.0 より前のバージョン 2.67.0より前のバージョンでは、特定の条件下で、GitHub の Artifact Attestation cli ツール「gh attestation verify」のバグにより、認証が存在しない場合にゼロの終了ステータスを返します。この動作は正しくありません。認証が存在しない場合、「gh attestation verify」は非ゼロ終了ステータスコードを返す必要があります。これにより、検証失敗のシグナルが送信されます。攻撃者がこの欠陥を悪用し、たとえば、「gh attestation verify」の終了コードを使用するシステムに悪意のあるアーチファクトを展開し、ゲートキーを展開する可能性があります。ユーザーは、可能な限り早急にパッチを適用したバージョン「v2.67.0」へ「gh」を更新することが推奨されます。CVE-2025-25204

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。