Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Dulwich は、Git ファイル形式とプロトコルの純粋な Python 実装です。バージョン 0.23.2 からバージョン 1.2.5 より前のバージョンでは、「dulwich.porcelain.submodule_update」、および拡張「porcelain.clone(..., recurse_submodules=True)」により、攻撃者がコントロールするサブモジュールパスが、パス検証なしで細工された上流リポジトリから具体化されます。悪意のある「.gitmodules」と、「パス」が「.git/hooks」(または親リポジトリの「.git」ディレクトリ内の他のディレクトリ)である一致するツリーgitlinkにより、攻撃者のサブモジュールツリーのコンテンツが、実行可能モードビットを保存したまま被害者の「.git/hooks/」ディレクトリに直接書き込まれます。ドロップされた実行可能ファイルは、マッチングフックを呼び出す後続の「git」または「dulwich」コマンドによって実行され、任意のコードが実行されます。これは、 CVE-2024-32002 / CVE-2024-32004 に対する Upstream Git 修正の dulwich に相当します。これは、dulwich の別途実装されたサブモジュール porcelain に反映されることはありませんでした。バージョン 1.2.5 はこの問題を修正します。(CVE-2026-52726)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-52726

high Nessus プラグイン ID 320684

バージョン 1.3