Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Gitsign は、GitHub / OIDC ID を使用した Git コミットの署名ツールへのキーレス Sigstore です。0.16.0より前のバージョンでは、gitsign verify と gitsign verify-tag は、未加工の git オブジェクトバイトに対して検証するのではなく、署名をチェックする前に go-git の EncodeWithoutSignature を通してコミット/タグオブジェクトを再エンコードします。重複するツリーヘッダーを持つ不正な形式のオブジェクトの場合、git-coreとgo-gitは異なるツリーを解析します。git-coreが最初のツリーを使用し、go-gitが2番目のツリーを使用します。go-git-normalized フォーム(2 番目のツリー)で細工された署名は gitsign 検証を通過しますが、git-core はコミットをまったく異なるツリーに解決します。これにより、検証済みの署名、コミットセマンティクス git-core がユーザーに提示し、Rekor に記録されているオブジェクトハッシュがすべて同じコンテンツを参照する不変性が破られます。この脆弱性は 0.16.0 で修正されています。
    (CVE-2026-44309)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-44309

medium Nessus プラグイン ID 315013

バージョン 1.3