Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - sigstore フレームワークは、sigstore サービスおよびクライアント間で共有される共通の go ライブラリです。バージョン 1.10.3 およびそれ以前では、レガシー TUF クライアントpkg/tuf/client.goは、ディスクへのターゲットファイルのキャッシュをサポートします。署名付きのターゲットメタデータからソースされたターゲット名を伴うキャッシュベースディレクトリを結合することで、ファイルシステムパスを構築します。ただし、結果のパスがキャッシュベースディレクトリ内に留まることは検証されません。悪意のある TUF リポジトリは、呼び出しプロセスが持つ権限に限定された、任意のファイルの上書きを発生させる可能性があります。これは、sigstore/sigstore の TUF クライアントを直接使用しているか、古いバージョンの Cosign を使用しているクライアントにのみ影響します。TUF メタデータは信頼できるコラボレーターの定足数によって検証されるため、パブリック Sigstore デプロイメントユーザーは影響を受けません。この問題はバージョン 1.10.4で修正されています。回避策として、ユーザーは、環境で SIGSTORE_NO_CACHE=true を設定することでレガシークライアントのディスクキャッシングを無効にするか、 https://github.com/sigstore/sigstore-go/tree/main/pkg/tufに移行するか、最新の sigstore/sigstore リリースにアップグレードすることができます。CVE-2026-24137

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-24137

medium Nessus プラグイン ID 296929

バージョン 1.7