openSUSE 16 セキュリティ更新:gitoxide(openSUSE-SU-2026:21558-1)
high Nessus プラグイン ID 335081
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21558-1 アドバイザリで言及されています。ジトキシドの変化:
- 0.56.0 への更新:
* CVE-2026-40034 (boo#1266434)を修正:CommandForbiddenInModules 信頼チェックが gix_submodule::File::update() でバイパスされる可能性があります。これにより、細工された .gitmodules ファイルから任意のコマンドが実行される可能性がありました
* .git/modules からのトラバーサルアウトおよび認証情報の漏洩を可能にしていたサブモジュール名の検証バイパスを修正します
* リポジトリの外部から追跡および解析されているシンボリックリンクの .gitmodules ファイルを修正します
* gix-pack におけるいくつかのサービス拒否ベクトルを修正します:チェックされていないインデックスパニック、および細工されたパックデータからの上限のない割り当て
* curl トランスポートバックエンドによってリダイレクトされたホストに漏洩されている HTTP 認証情報を修正します
* gix config show、gix config list、gix config fmt、gix free remote refs、gix free trust、gix dirwalk、gix tickets サブコマンドを追加します
* コミットを作成するために、gix ステータス --untracked フラグと gix マージツリー --message を追加します
* GIX 除外クエリは現在インデックス対応であり、レポートを報告しなくなり、追跡されるファイルの一致を無視し、git check-ignore に一致します
* 最後のリモート URL だけでなく、構成されたリモート URL をすべて保存します
* 浅い複製、相対ワークツリーリンクファイルのタグ refspecs によるフェッチと複製、緩い参照パスプレフィックス衝突を修正します
* 木箱を Rust 2024 版に更新します
- ベンダーの依存関係をリフレッシュします。このバージョンに対する残りのオープン CVE バグの状態を記録します。いずれの影響も受けません:
* CVE-2026-25541 (boo#1274525):ベンダーのバイト数は現在 1.12.1 であり、 1.11.1 修正を上回っています
* CVE-2025-22620 (boo#1236139):gix-worktree-state は 0.33.0であり、実行可能ファイルの誰でも書き込めるチェックアウトを修正した 0.17.0 をはるかに上回っています
- 0.50.0 への更新:
https://github.com/GitoxideLabs/gitoxide/compare/v0.42.0...v0.50.0を参照してください
- 0.42.0 への更新:
* gix diff ファイルの最初の「デバッグ」バージョンを追加
* リビジョンとパスの revspecs を使用
* CVE-2025-31130:衝突検出 SHA-1 ハッシュを使用 boo#1240872
- バージョン 0.41.0 への更新:
* gix blame -L start、end を追加
* Git インストールに関連したパスを印刷するために gix env を追加。
* 残りのサブコマンドを文書化します
* 統計と追加のパフォーマンス情報のサポートを追加します。
* gix blame を CLI に追加します。これにより、リポジトリ内の任意のファイルの非難の結果を確認できます。
- バージョン 0.40.0 からの更新:
* gix ログの最初の「デバッグ」バージョンを追加します。これは主に、gix の責任をよりよく理解することを目的としています。
* gix merge tree|commit に --tree-favor を追加します。それがあれば、和解できない木の対立の場合にどちらの側を支持するかを決めることができます。
* CVE-2025-22620:gix-worktree-state は、実行可能ファイルのチェックアウト時に 0777 権限を指定します(boo#1236139)
- バージョン 0.39.0 への更新:
新機能
* gix マージコミットを追加 --debug
* gix マージコミットを追加
* git merge-tree と同様にツリーをマージするために gix マージツリーを追加します。
- バージョン 0.38.0 への更新:
新機能
* GIX ワークツリーリスト付きワークツリーリスト表示のサポート
* gix diff ツリーの最初の「デバッグ」バージョンを追加します。
* 新しい gix cat コマンドを追加します。
* git merge-file と類似する機能を持つ gix merge-file を追加します
* cli バグ修正用の gix merge-base
* gix のクリーン警告を調整し、ワークツリー修正のヘルプを助長します
* -r/--repositories を明確化し、その他 --skip-hidden-repositories します
* 時間から JIFF に切り替えます
* 構成サポート情報のスタイルを統一
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるgitoxideパッケージを更新してください。参考資料
https://bugzilla.suse.com/1223249
https://bugzilla.suse.com/1236139
https://bugzilla.suse.com/1240872
https://bugzilla.suse.com/1266434
https://bugzilla.suse.com/1274525
https://www.suse.com/security/cve/CVE-2024-32650
https://www.suse.com/security/cve/CVE-2025-22620
https://www.suse.com/security/cve/CVE-2025-31130
プラグインの詳細
深刻度: High
ID: 335081
ファイル名: openSUSE-2026-21558-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/8/13
更新日: 2026/8/13
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.12
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-25541
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.5
Threat Score: 7.1
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-40034
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:gitoxide
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/8/10
脆弱性公開日: 2024/4/19
参照情報
CVE: CVE-2024-32650, CVE-2025-22620, CVE-2025-31130, CVE-2026-25541, CVE-2026-40034