openSUSE 16 セキュリティ更新 : git-lfs (openSUSE-SU-2026:21621-1)
high Nessus プラグイン ID 339037
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21621-1 アドバイザリで言及されています。git-lfs での変更:
- 3.7.1 に更新してください: (boo#1252259 CVE-2025-26625)
このリリースでは、まとめて CVE-2025-26625 に割り当てられている Linux、macOS、Windows システムのセキュリティ修正が導入されています。
Git LFS オブジェクトのコンテンツを Git リポジトリの作業ツリーに入力するとき、Git LFS によって追跡されるファイルのパスと競合するシンボリックリンクまたはハードリンクが存在する場合、特定の Git LFS コマンドが現在の Git 作業ツリーの外側にあるファイルに書き込む可能性があります。
Git LFS は、git lfs checkout および git lfs pull コマンドを修正して、作業ツリー内のファイルに書き込む前に Git が実行するのと同じ方法でシンボリックリンクをチェックすることで、この問題を解決しました。これらのコマンドは、新しいファイルをその場所に書き込む前に、作業ツリーの既存のファイルも削除するようになりました。
Git LFS により、git lfs checkout および git lfs pull コマンドが、ベアリポジトリで実行された場合に、リポジトリの外部で表示されているファイルに書き込む可能性がある問題も解決しました。
これを実現するには、特定の、比較的起こりそうもない一連の条件が必要でしたが、今後はどのような状況でも発生しなくなりました。
以下のオープンソースの貢献者に特別な感謝の意を表します。
この問題を責任をもって報告してくれた Apple Product Security の皆様
* バグ
- チェックアウトおよびプル時にシンボリックリンクを検出 (@chrisd8088)
* その他
- Go 1.25 にアップグレード (@chrisd8088)
- 3.7.0 に更新してください
このリリースは、オブジェクトを強制的に再ダウンロードする機能や、外部ツールが利用できるようにオブジェクトの URL と HTTP メタデータを JSON で出力する機能など、Git LFS オブジェクトを取得するためのいくつかの新しいオプションを導入する機能リリースです。このリリースでは、ファイルパスパターン一致の設定可能なメモリ内キャッシュも追加され、その他の変更とともに、大きなリポジトリを Git LFS に移行するために必要な時間を短縮するのに役立ちます。
Git LFS は、Windows 上で Git および curl と同じ .netrc ファイルをサポートするようになりました。すべての 429 ステータスコード HTTP 応答の後に適切に再試行します。Git LFS 移行中に Git のオブジェクトストレージへのシンボリックリンクの使用を許可します
- 機能
- ファイルパスフィルターの一致結果をキャッシュ #6047 (@alexkad0)
- 取得するために --refetch オプションを追加 #5975 (@redsun82)
- 取得するために --json オプションを追加 #5974 (@redsun82)
- 取得するために --dry-run オプションを追加 #5973 (@redsun82)
- バグ
- macOS システムルート CA のデフォルトの Go サポートを使用して TLS/SSL 証明書を検証 #6049 (@chrisd8088)
- Windows に存在する場合は .netrc を優先 #6055 (@johanvdw)
- .git/objects がシンボリックリンクである移行を修正 #6042 (@bk2204)
- 429 オブジェクト転送応答の Retry-After ヘッダーを遵守 #6014 (@chrisd8088)
- その他
- v3.7.0 リリースの Linux ディストリビューションパッケージリストを更新 (@chrisd8088)
- プッシュ時に欠落しているオブジェクトを一貫してレポート #6027 (@chrisd8088)
- git-update-ref スクリプトを使用して、参照を更新 #6048 (@alexkad0)
- ファイルの複製のための未使用の汎用スタブ関数をドロップ #6050 (@chrisd8088)
- 初期の Git バージョンの CI ジョブで競合する curl マクロを回避 #6040 (@chrisd8088)
- pull: チェックアウト失敗時のエラーメッセージを改善 #5629 (@bk2204)
- API ドキュメントのコードスニペットの言語を修正 #6035 (@slonopotamus)
- build(deps): golang.org/x/net を 0.36.0 から 0.38.0 #6034 に更新 (@dependabot[bot])
- マニュアルページに単一ターゲットの Makefile パターンを使用 #6032 (@chrisd8088)
- エラーに対して直接値 nil を使用 #6024 (@alingse)
- 最低限必要な Git バージョンチェックを更新 #6028 (@chrisd8088)
- build(deps): golang.org/x/net を 0.33.0 から 0.36.0 #6012 に更新 (@dependabot[bot])
- x/crypto を v0.35.0 にアップグレードして解決 CVE-2025-22869 bsc#1239322 #5997 (@gergelyfabian)
- Go 1.24 #6013 にアップグレード (@chrisd8088)
- 定数書式文字列を使用し、HTTP エラーメッセージを修正 #5998 (@chrisd8088)
- 進捗メッセージからコマンド名のプレフィックスを削除 #5995 (@chrisd8088)
- doc: git-lfs-checkout の例で欠如している --to 引数を追加 #6005 (@DarkDefender)
- 最小/最大ヘルパーを内蔵の最小/最大で置換 #5999 (@Juneezee)
- セキュリティパッチリリースプロセスドキュメンテーションを追加 #5987 (@chrisd8088)
- 未使用のデバッグモードをトレースロギングで置換 #5989 (@chrisd8088)
- Actions runners が提供するデフォルトの Ruby を使用 #5984 (@chrisd8088)
- build(deps): azure/trusted-signing-action を 0.5.0 から 0.5.1 #5981 へ更新 (@dependabot[bot])
- ワークフローを更新し、ARM ランナーと新しい Apple 署名証明書を使用 #5977 (@chrisd8088)
- docs/man/git-lfs-prune.adoc: --(no-)verify-unreachable の説明を修正 #5959 (@m3ka24)
- docs/man/git-lfs-migrate.adoc: 重複するフラグを削除 #5944 (@fedirz)
- golang.org/x/net を 0.33.0 #5940 から 0.23.0 にアップグレード (@gergelyfabian)
- build(deps): golang.org/x/crypto を 0.21.0 から 0.31.0 #5935 に更新 (@dependabot[bot])
- macOS CI ジョブを簡略化し、Go ツールチェーンバージョンを指定 #5931 (@chrisd8088)
- アクションワークフローのセキュリティ強化 #5930 (@bk2204)
- Pop!_OS の命名 #5929 を修正 (@LucasDondo)
- リリースプロセスのドキュメンテーションおよびスクリプトの更新 #5920 (@chrisd8088)
- ライセンス著作権の日付とサポートされている最小 Git バージョンを更新 #5921 (@chrisd8088)
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける git-lfs パッケージを更新してください。参考資料
https://bugzilla.suse.com/1239322
https://bugzilla.suse.com/1252259
プラグインの詳細
深刻度: High
ID: 339037
ファイル名: openSUSE-2026-21621-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/8/23
更新日: 2026/8/23
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.3
パーセンタイル: 53.59
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2025-26625
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2025-22869
CVSS v4
リスクファクター: High
Base Score: 8.6
Threat Score: 6.2
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:git-lfs
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/21
脆弱性公開日: 2025/2/26
参照情報
CVE: CVE-2025-22869, CVE-2025-26625