リモートホストにインストールされている runfinch-finch のバージョンは、1.17.2-1 より前です。したがって、ALAS2DOCKER-2026-137 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Unix システムで、OS でファイルを開くパスの最後のパスコンポーネントがシンボリックリンクで、パスが / で終わる場合、ルートは、ルート外の場所へのシンボリックリンクに不適切に従います。たとえば、「root.「Open(symlink/)」は、シンボリックリンクがrootの外側を指し示すシンボリックリンクの場合でもシンボリックリンクを開きます。(CVE-2026-39822)

    暗号化されていない Client Hello 内の事前共有されたキー ID の漏洩により、暗号化された Client Hello を使用したハンドシェイクが、パッシブなネットワークオブザーバーによって非匿名化される可能性があります。(CVE-2026-42505)

    Rekor に欠陥が見つかりました。Alpine Package Keep(APK)ファイルを処理する「Package.Unmarshal()」関数は、展開される合計サイズを制限せずに gzip ストリームを展開します。リモートの攻撃者がこれを悪用して、高い圧縮比を持つ悪意のある APK ファイルを作成し、サーバーに過剰なメモリを消費させる可能性があります。これは、メモリ不足(OOM)エラーによるサービス拒否(DoS)につながり、認証されていないAPIエンドポイントを介してトリガーされる可能性があります。(CVE-2026-48702)

    Fulcio の OpenID Connect(OIDC)ディスカバリークライアントで欠陥が見つかりました。この脆弱性により、リモートの攻撃者が、ディスカバリーリクエストを内部システムにリダイレクトすることで、サーバーサイドリクエストフォージェリ(SSRF)を実行する可能性があります。さらに、攻撃者はJSON Web Key Set(JWKS)の統一資源識別子(URI)を操作して検証機能のキャッシュを悪意のある鍵でポイズニングし、攻撃者が制御する署名の検証を可能にします。さらに、この欠陥により、クロスホストリダイレクトまたは誤って設定された MetaIssuer を通じて Kubernetes ServiceAccount トークンがサードパーティホストに漏洩し、機密性の高いクラスター認証情報が漏洩する可能性があります。(CVE-2026-49478)

    Sigstore Timestamp Authority に欠陥が見つかりました。認証されていないリモートの攻撃者がこの脆弱性を悪用し、任意のHTTPパスとメソッドでリクエストを送信する可能性があります。これにより、過剰な数の一意のメトリックラベルが作成され、無制限のメモリ増加とサーバーでのサービス拒否(DoS)状態が引き起こされます。この問題は、リソース消費の不適切な制限の一種です(CWE-770)。
    (CVE-2026-49835)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : runfinch-finch、--advisory ALAS2DOCKER-2026-137 (ALASDOCKER-2026-137)

high Nessus プラグイン ID 332018

バージョン 1.1