Amazon Linux 2023 : python3-dulwich (ALAS2023-2026-2026)
high Nessus プラグイン ID 332007
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-2026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。1.1.0 までの Dulwich では、contrib/paramiko_vendor.py にホストキー SSH 検証がないことが見つかりました。
(CVE-2026-38974)
Windows で悪意のある Git リポジトリを複製またはチェックするときにリモートでコードが実行される、任意のファイル書き込み。
Dulwich のパス要素のバリデーターは、ファイル名に Windows が構造化パス構文として解釈するバイトを含むツリーエントリを受け入れました。
\ -- Windows のパスセパレーター。.git\hooks\pre-commit.exe という名前の単一のツリーエントリは、POSIX では 1 つの有効なファイル名として扱われていましたが、Windows ではネスト化されたディレクトリ .git/hooks/pre-commit.exe として具体化され、被害者の .git ディレクトリ内にファイルが配置されました。その後、Git for Windows は次の git コミットでそのフックを実行し、被害者のユーザーコンテキストで攻撃者に任意のコードを実行させます。同じプリミティブを ..\outside.txt と組み合わせることで、作業ツリーから脱出することも可能です。NTFS の代替データストリームマーカー。
.git::$INDEX_ALLOCATION は、.git がディレクトリであるかどうかのチェックを迂回して、被害者の .git エンティティに直接書き込みを行います。git~ -- .git の NTFS 8.3 ショートネームエイリアス。文字通りの git1 だけが拒否され、git2、git10、GIT1 などはすべて受け入れられました。設定に関するバグが報告されたことで、事態はさらに悪化しました。core.protectNTFS と core.protectHFS の設定が間違ったオプション名で検索されていたため、ユーザー設定値が無視され、core.protectNTFS は Windows でのみ true にデフォルト設定されました ( CVE-2019-1353以降、Git の Upstream はどこでもデフォルトで true になっています)。両方とも修正されました。
Windows 上で Dulwich を使用して、信頼できないリポジトリをクローン、フェッチ、またはチェックアウトするユーザー (Dulwich CLI、porcelain.clone、または Dulwich を基盤とするダウンストリームツールのいずれを使用する場合でも) は、この問題の影響を受けます。POSIX クローン自体は直接悪用されることはありません (POSIX では「\」はリテラルなファイル名バイト) が、POSIX ユーザーは、プッシュや再公開を通じて、知らず知らずのうちに悪意のあるツリーを Windows ユーザーに拡散させてしまう可能性があります。(CVE-2026-42305)
制御されないリソース消費 (メモリの枯渇) によるサービス拒否の脆弱性 (CWE-400 / CWE-789)。
プッシュアクセス権限を持つクライアントは、デルタヘッダーで巨大な dest_size を宣言した、細工されたごく小さなシンパック (~174 バイト) をプッシュすることが可能です。dulwich が add_thin_pack / apply_delta を介して取り込むと、実際に受信したバイトとは無関係に、攻撃者が制御するサイズに基づいて数百 MB のメモリが割り当てられます。
影響を受ける対象: git-receive-pack を公開する (つまりプッシュを受け入れる) dulwich ベースの Git サーバーを実行しているオペレーター。たとえば、dulwich.server 機能、HTTP スマートサーバー、または ReceivePackHandler 上に構築されたシステムなどが挙げられます。(CVE-2026-47734)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update python-dulwich --releasever 2023.12.20260803」または「dnf update --advisory ALAS2023-2026-2026 --releasever 2023.12.20260803」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2026.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-38974.html
プラグインの詳細
深刻度: High
ID: 332007
ファイル名: al2023_ALAS2023-2026-2026.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/8/4
更新日: 2026/8/4
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.13
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-42305
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:python-dulwich-debugsource, p-cpe:/a:amazon:linux:python-dulwich-doc, p-cpe:/a:amazon:linux:python3-dulwich-debuginfo, p-cpe:/a:amazon:linux:python3-dulwich
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/4
脆弱性公開日: 2026/5/28