SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:1970-1)
medium Nessus プラグイン ID 315284
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1970-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。php-composer2 用のこの更新は、次の問題を修正します
- CVE-2026-40176:悪意のある Perforce リポジトリ定義によるコマンドインジェクション(bsc#1262254)。
- CVE-2026-40261:悪意のある Perforce ソース参照/url によるコマンドインジェクション(bsc#1262255)。
php-composer2 の変更:
- 2.2.27 へのバージョン更新(Upstream LTS バージョンと整合性)
* セキュリティ:git/hg/perforce/fossil 識別子の検証を強化し、で始まるブランチ名を確実にします - 問題を引き起こさないようにします(246f807b、246f807b、246f807b)
* セキュリティ:queryP4User シェルコマンドにおける Perforce のエスケープされていないユーザー入力を修正しました(246f807b)
* セキュリティ:ext-curlがない場合の安全でない3DES暗号の使用を修正しました(21ffece62)
* Windows で = があるパスを処理する問題を修正しました(#11568)
- バージョン 2.2.26 2025 年 12 月 30 日
* セキュリティ:ANSI シーケンスインジェクションを修正しました(GHSA-59pp-r3rg-353g / CVE-2025-67746)
- バージョン 2.2.25 2024 年 12 月 11 日
* この LTS バージョンが最新の PHP で使用される場合に表示される廃止の通知を修正しました。ただし、最新の PHP サポートは保証もテストもされておらず、LTS リリースの主な目的はレガシー PHP バージョンのサポートです。(#12217)
* プラグインが複数のクラスを定義する際の問題を修正(#12226)
* php 設定に応じて出力に表示される重複エラーを修正しました(#12214)
* いくつかのインスタンスで重複データを返す InstalledVersions を修正しました(#12225)
- バージョン 2.2.24 2024 年 6 月 10 日
* セキュリティ:悪意のある git ブランチ名によるコマンドインジェクションを修正しました(GHSA-47f6-5gq3-vx9c / CVE-2024-35241)
* セキュリティ:悪意のある git/hg ブランチ名による複数のコマンドインジェクションを修正しました(GHSA-v9qv-c7wm-wgmf / CVE-2024-35242)
* セキュリティ:無効な形式の URL 形式を使用することでバイパスされる可能性がある secure-http チェックを修正しました(fa3b9582c)
* セキュリティ:linux での Windows 固有のチェックを含め、Filesystem::isLocalPath を修正しました(3c37a67c)
* セキュリティ:perforce 引数のエスケープを修正しました(3773f775)
* セキュリティ:アーカイブ抽出時の zip 爆弾の処理を修正しました(de5f7e32)
* セキュリティ:Windows コマンドパラメーターのエスケープを修正し、最適なエンコーディングで Unicode 文字の悪用を防止しました
* 変換(3130a7455、04a63b324)
- バージョン 2.2.23 2024 年 2 月 8 日
* セキュリティ:危険にさらされたベンダーディレクトリの内容を介した、コード実行および潜在的な権限昇格を修正しました(GHSA-7c6p-848j-wh5h / CVE-2024-24821)
- バージョン 2.2.22 2023 年 9 月 29 日
* セキュリティ:composer.phar がパブリックにアクセス可能で、PHPとして実行可能で、register_argc_argv が php.ini で有効である場合に発生する可能性のあるリモートコードの実行の脆弱性を修正しました(GHSA-jm6m-4632-36hf / CVE-2023-43655)
* プライベートBitbucketから複数のファイルをパラレルでダウンロードする際の認証の問題を修正(#11464)
* Windows 上の破損したジャンクションの処理を修正しました(#11550)
* 部分的な更新を行う際のパスリポジトリパッケージでの root エイリアスのロードを修正しました(#11632)
* OSX SecureTransport による lib-curl-openssl バージョンの解析を修正しました(#11534)
* 別の PHP プロセスに含まれ、値を返す場合にバイナリプロキシが透過的でない問題を修正しました(#11454)
* 読み取り専用としてマークされているプラグインクラスのサポートを修正しました(#11404)
* GitHubレート制限レポートを修正しました(#11366)
* % 記号を含むブランチ名によるソルバー問題の表示問題を修正しました(#11359)
- バージョン 2.2.21 2023 年 2 月 15 日
* インストール前チェックを行う際の PluginInstaller の extra.plugin-optional サポートを修正しました(#11326)
- バージョン 2.2.20 2023 年 2 月 10 日
* 非対話型(#11315)実行時に重要ではない不明なプラグインの自動無効化を可能にする extra.plugin-optional サポートを追加しました
- バージョン 2.2.19 2023 年 2 月 4 日
* 新しい GitHub パーソナルアクセストークンフォーマットを処理するために URL サニタイザーを修正しました(#11137)
* _ が a-b と a_b などのパッケージ名の間の競合を回避できるようにキャッシュキーを修正しました(#11229)
* 競合ルールに適用されないように上限無視を伴う --ignore-platform-req 処理を修正しました(#11037)
* 0 に設定したときのCOMPOSER_DISCARD_CHANGESの処理を修正しました
- バージョン 2.2.18 2022 年 8 月 20 日
* COMPOSER_NO_DEVを修正しました。これにより、必須および削除の --update-no-dev でも動作するようにします(#10995)
* 重複していない拡張子の警告が表示される問題を修正しました(#10938)
* hg バージョン検出を修正しました(#10955)
* キャッシュが所定の参照をロードした後に git タグが作成される際の git キャッシュの無効化の問題を修正しました(#11004)
- バージョン 2.2.17 2022 年 7 月 13 日
* ターゲットディレクトリが CWD 外であっても、 create-project または validate など場合に読み込まれる CWD/ベンダーからのプラグインを修正しました(#10935)
* レガシー(Composer 1.x、例えば hirak/prestissimo)プラグインのサポートを修正しました。これは、許可プラグインにない場合、いずれにしてもロードされないため、警告/エラーを発生させなくなります(#10928)
* --no-plugins を考慮しない許可されたプラグインに対するインストール前のチェックを修正しました(#10925)
* disk_free_spaceを含む disable_functions のサポートを修正しました(#10936)
* プラグインとの相互運用性の問題を回避するために常にルートパッケージのクローンを作成するように RootPackageRepository の使用を修正しました(#10940)
- バージョン 2.2.16 2022 年 7 月 5 日
* 壊れたインストールを回避するために警告で続行する代わりに、スローすることを許可するプラグインの非インタラクティブな動作を修正しました(#10920)
* allow-plugins BC モードを修正し、2.2 より前に作成された古いロックファイルが、警告が表示されるだけでプラグインがフルロードされるようにインストールできます(#10920)
* 廃止通知を修正しました(#10921)
- バージョン 2.2.15 2022 年 7 月 1 日
* ファイルシステムが書き込みできない場合でのキャッシュ読み取り専用のサポートを修正しました(#10906)
* allow-plugins 使用時のタイプエラーを修正しました:true(#10909)
* コマンドに渡された引数を受信するスクリプト@putenvを修正しました(#10846)
* Windows上のバイナリプロキシを持つパスのスペースのサポートを修正しました(#10836)
* ブランチを一覧表示できない場合の GitDownloader でのタイプエラーを修正しました(#10888)
* PHP 5.3.3 の RootPackageInterface の問題を修正しました(#10895)
- バージョン 2.2.14 2022 年 6 月 6 日
* パッケージがまだインストールされているかどうかをチェックするときの、壊れたシンボリックリンクの処理を修正しました(#6708)
* 名前の JSON スキーマ正規表現パターンを修正し、JS 互換性が必要(#10811)
* bin プロキシを修正し、プロキシが別のプロキシを安全に含めるようにしました(#10823)
* gitlab-token JSON スキーマ定義を修正(#10800)
* openssl 3.x バージョン解析が修正され、現在は semver に準拠しているため、修正されています
* json ファイルが読み取れない場合のタイプエラーを修正しました(#10818)
* funding.yml での複数行の配列の解析を修正しました(#10784)
- バージョン 2.2.13 2022 年 5 月 25 日
* GitLab トークンを設定する際の無効な認証情報ループを修正しました(#10748)
* PHP 8.2 の廃止を修正しました(#10766)
* ロックファイル作成が無効な場合でも出力されるロックファイルの変更を修正しました
* 同一のホスト名で認証を求める複数のリクエストが同時に発動された場合の競合状態を修正しました(#10763)
* Windowsのコンマの引用を修正しました(#10775)
* シンボリックリンク機能が無効なパスリポジトリをインストールする際の問題を修正しました(#10786)
- バージョン 2.2.12 2022 年 4 月 13 日
* セキュリティ:HgDriver/GitDriver のコマンドインジェクションの脆弱性を修正しました(GHSA-x7cr-6qr6-2hh6/ CVE-2022-24828)
* DNS 解決エラーが発生した場合に再試行しない curl ダウンローダーを修正しました(#10716)
* composer.lock ファイルが、ロックコンフィグレーションオプションが無効な場合でも使用/読み込み中であることを修正しました(#10726)
* ロックオプションが無効化されている場合でも、ロックファイルをチェックするコマンドの検証を修正しました(#10723)
- バージョン 2.2.11 2022 年 4 月 1 日
* composer-schema.json で欠落している config.bitbucket-oauth を追加
* --2.2 フラグを自己更新に追加し、Composer のバージョンを 2.2 LTS 範囲(#10682)に固定するようにしました
* マイナー修正のために semver、jsonlint deps を更新しました
* パッケージのパスが壊れている場合の自動ロードクラッシュの生成を修正しました(#10688)
* ロックファイルからリロードし dev deps を抽出するときに機能しないため、 #10372 から dev-master=>dev-main エイリアスを削除しました(#10651)
- バージョン 2.2.10 2022 年 3 月 29 日
* API 変更による Bitbucket 承認の検出を修正しました(#10657)
* 定義されている場合に、dist/ソースキーに関する検証コマンド警告を修正しました(#10655)
* 破損した 0 バイト zip アーカイブの削除/処理を修正しました(#10666)
- バージョン 2.2.9 2022 年 3 月 15 日
* パッケージのインストールパスを変更するプラグインの回帰を修正しました。そのようなプラグインを作成している場合はドキュメントを参照してください(#10621)
- バージョン 2.2.8 2022 年 3 月 15 日
* ファイル自動ロードのソート順序が完全に決定論的になるように修正しました(#10617)
* プール最適化がエッジケースを渡す問題を修正しました(#10579)
* self.version が制約として使用される場合に require コマンドが失敗する問題を修正しました(#10593)
* --no-ansi / 装飾が無効な出力が repo 警告で色が表示され続ける問題を修正しました(#10601)
* プール最適化ステップのパフォーマンス改善(composer/semver#131)
- バージョン 2.2.7 2022 年 2 月 25 日
* composer/xdebug-handler ^3(#10528)と一緒にインストールできるようにします
* ライセンスコマンド出力のライセンスのないパッケージのサポートを修正しました(#10537)
* allow-plugins:警告を残していた false の処理を修正しました(#10530)
* enum キーワードが小文字でない場合のクラスマップ生成での enum 解析を修正しました(#10521)
* スキーマが名前のみを許可しているにもかかわらず、電子メールを必要とする init コマンドにおける作成者の解析を修正しました(#10538)
* 存在しない(しかし、必要な他のものによって提供される)パッケージが必要な場合の、require コマンドの問題を修正しました(#10541)
* プール最適化ステップのパフォーマンス改善(#10546)
- バージョン 2.2.6 2022 年 2 月 4 日
* BC Break:見落としのため、Composer 2.2.2 に追加されたバイナリの COMPOSER_BIN_DIR env var の名前を COMPOSER_RUNTIME_BIN_DIR に変更する必要がありました(#10512)
* 次のスペースなしで enum foo:string のような構文を使用したクラスマップ生成における列挙型解析を修正しました:
(#10498)
* 入力を urlencode しないパッケージ検索を修正しました(#10500)
* 再インストールコマンドが pre-install-cmd/post-install-cmd イベントを発生させない問題を修正しました(#10514)
* symlink: true オプションが古い Windows および古い PHP コンボで無視される、パスリポジトリにおけるエッジケースを修正しました(#10482)
* テストパッケージの最新の symfony/コンソールリリース(#10499)との互換性を修正しました
* 一部のエラーレポートエッジケースを修正しました(#10484、 #10451、 #10493)
- バージョン 2.2.5 2022 年 1 月 21 日
* 実行時に Composer\InstalledVersions を使用して機能できるため、デフォルトで composer/package-versions-deprecated を無効にしました(#10458)
* phar ファイルがディレクトリに存在する場合のアーティファクトリポジトリのクラッシュを修正しました(#10406)
* プロキシされたバイナリパスで fseek が使用されている場合の PHP <8 でのバイナリプロキシの問題を修正しました(#10468)
* パッケージリポジトリメタデータの文字列以外のバージョンの処理を修正しました(#10470)
- バージョン 2.2.4 2022 年 1 月 8 日
* インストール中に非同期プロセスを実行する際のプロセスタイムアウトの処理を修正しました
* プロジェクトでリポジトリが無効な場合の GitLab API 処理を修正しました(#10440)
* Unicode 文字を含む環境変数(例:APPDATA)の読み取りを修正し、WindowsのPHPバグを回避(#10434)
* パスレポジトリがパスレポジトリによって必要とされる場合に、パスレポジトリがない部分的な更新の問題を修正しました(#10431)
* 新しいビンプロキシを介したバイナリのソーシングのサポートを修正しました(#10389)
* GitHub トークンに SSO 認証が必要な場合のメッセージングを修正しました(#10432)
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける php-composer2 パッケージを更新してください。参考資料
https://bugzilla.suse.com/1262254
https://bugzilla.suse.com/1262255
https://lists.suse.com/pipermail/sle-updates/2026-May/046554.html
https://www.suse.com/security/cve/CVE-2022-24828
https://www.suse.com/security/cve/CVE-2023-43655
https://www.suse.com/security/cve/CVE-2024-24821
https://www.suse.com/security/cve/CVE-2024-35241
https://www.suse.com/security/cve/CVE-2024-35242
https://www.suse.com/security/cve/CVE-2025-67746
プラグインの詳細
深刻度: Medium
ID: 315284
ファイル名: suse_SU-2026-1970-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/5/19
更新日: 2026/5/19
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2022-24828
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2023-43655
CVSS v4
リスクファクター: Medium
Base Score: 5.3
Threat Score: 2.1
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2025-67746
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:php-composer2, cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/5/18
脆弱性公開日: 2022/4/13
参照情報
CVE: CVE-2022-24828, CVE-2023-43655, CVE-2024-24821, CVE-2024-35241, CVE-2024-35242, CVE-2025-67746, CVE-2026-40176, CVE-2026-40261
SuSE: SUSE-SU-2026:1970-1