リモートの Fedora 37 ホストには、FEDORA-2023-26116901d9 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.1.32 より前の GitPython は、clone および clone_from の安全でない非マルチオプションをブロックしません。注意: この問題は CVE-2022-24439 の修正が不完全なために存在します。(CVE-2023-40267)

  - パッケージ gitpython のすべてのバージョンは、不適切なユーザー入力検証により、リモートコード実行 (RCE) に対して脆弱です。これにより、悪意を持って細工されたリモート URL をクローンコマンドに注入することが可能になります。
    ライブラリが入力引数を十分にサニタイズせずに git への外部呼び出しを行うため、この脆弱性の悪用が可能です。(CVE-2022-24439)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 16.04ESM / 18.04ESM / 20.04ESM / 22.04ESM / 22.10ホストにインストールされているパッケージは、USN-5968-1 アドバイザリに記載されている脆弱性の影響を受けます。

  - パッケージ gitpython のすべてのバージョンは、不適切なユーザー入力検証により、リモートコード実行 (RCE) に対して脆弱です。これにより、悪意を持って細工されたリモート URL をクローンコマンドに注入することが可能になります。
    ライブラリが入力引数を十分にサニタイズせずに git への外部呼び出しを行うため、この脆弱性の悪用が可能です。(CVE-2022-24439)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 38 ホストには、FEDORA-2023-1ec4e542f9 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.1.32 より前の GitPython は、clone および clone_from の安全でない非マルチオプションをブロックしません。注意: この問題は CVE-2022-24439 の修正が不完全なために存在します。(CVE-2023-40267)

  - パッケージ gitpython のすべてのバージョンは、不適切なユーザー入力検証により、リモートコード実行 (RCE) に対して脆弱です。これにより、悪意を持って細工されたリモート URL をクローンコマンドに注入することが可能になります。
    ライブラリが入力引数を十分にサニタイズせずに git への外部呼び出しを行うため、この脆弱性の悪用が可能です。(CVE-2022-24439)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 11 ホストには、dla-3939 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3939-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ: python-git バージョン: 3.1.14-1+deb11u1 CVE ID: CVE-2022-24439 CVE-2023-40267 CVE-2023-41040 Debian バグ: 1027163 1043503

    GitPython は、Git リポジトリへのオブジェクトモデルアクセスを提供します。

    CVE-2022-24439、CVE-2023-40267 (フォローアップ)

        不適切なユーザー入力検証により、リモートコード実行 (RCE) が可能になり、悪意を持って細工されたリモート URL をクローンコマンドに注入する可能性があります。ライブラリが入力引数を十分にサニタイズせずに git への外部呼び出しを行うため、この脆弱性の悪用が可能です。

    CVE-2023-41040

        GitPython は「.git」ディレクトリからファイルを読み取ります。一部の場所では、読み取られるファイルの名前がユーザーによって提供されています。GitPython は、このファイルが「.git」ディレクトリの外部にあるかどうかをチェックしません。
        これにより、攻撃者は GitPython にシステムから任意のファイルを読み取らせることができます。

    Debian 11 bullseye においては、これらの問題はバージョン 3.1.14-1+deb11u1 で修正されました。

    お使いの python-git パッケージをアップグレードすることを推奨します。

    python-git の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/python-git

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS



    添付ファイル:
    signature.asc 説明: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 10 ホストには、dla-3502 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - パッケージ gitpython のすべてのバージョンは、不適切なユーザー入力検証により、リモートコード実行 (RCE) に対して脆弱です。これにより、悪意を持って細工されたリモート URL をクローンコマンドに注入することが可能になります。
    ライブラリが入力引数を十分にサニタイズせずに git への外部呼び出しを行うため、この脆弱性の悪用が可能です。(CVE-2022-24439)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 36 ホストには、FEDORA-2022-ce7369b9ec のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - パッケージ gitpython のすべてのバージョンは、不適切なユーザー入力検証により、リモートコード実行 (RCE) に対して脆弱です。これにより、悪意を持って細工されたリモート URL をクローンコマンドに注入することが可能になります。
    ライブラリが入力引数を十分にサニタイズせずに git への外部呼び出しを行うため、この脆弱性の悪用が可能です。(CVE-2022-24439)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:5931 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - openssl: c_rehash スクリプトでコマンドインジェクションが可能 (CVE-2022-1292)

  - openssl: c_rehash スクリプトでコマンドインジェクションが可能 (CVE-2022-2068)

  - foreman: ct_command および fcct_command による OS コマンドインジェクション (CVE-2022-3874)

  - GitPython: 不適切なユーザー入力検証により、RCE が引き起こされます (CVE-2022-24439)

  - ruby-git: コードインジェクションの脆弱性 (CVE-2022-46648、CVE-2022-47318)

  - Satellite/Foreman: yaml グローバルパラメーターを通じた任意のコードの実行 (CVE-2023-0462)

  - OpenSSL: DH q パラメーター値のチェックに過剰な時間がかかります (CVE-2023-3817)

  - python-django: 1 つのフォームフィールドを使用して複数のファイルをアップロードする際に、検証がバイパスされる可能性があります (CVE-2023-31047)

  - python-django: EmailValidator/URLValidator における正規表現によるサービス拒否の潜在的な脆弱性 (CVE-2023-36053)

  - golang: net/http、x/net/http2: ストリームの高速リセットが過剰な作業を引き起こす可能性があります (CVE-2023-44487) (CVE-2023-39325)

  - GitPython: clone および clone_from の安全でない非マルチオプションをブロックしません (CVE-2023-40267)

  - HTTP/2: 複数の HTTP/2 が有効な Web サーバーが、DDoS 攻撃 (Rapid Reset 攻撃) に対して脆弱です (CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
180184	Fedora 37 : GitPython (2023-26116901d9)	Nessus	Fedora Local Security Checks	2023/8/25	2024/11/14	critical
173265	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM: GitPython の脆弱性 (USN-5968-1)	Nessus	Ubuntu Local Security Checks	2023/3/22	2024/8/27	critical
180025	Fedora 38 : GitPython (2023-1ec4e542f9)	Nessus	Fedora Local Security Checks	2023/8/22	2024/11/14	critical
209877	Debian dla-3939: python-git-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2024/10/29	2024/10/29	critical
178781	Debian DLA-3502-1 : python-git - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/7/25	2025/1/22	critical
169696	Fedora 36: GitPython (2022-ce7369b9ec)	Nessus	Fedora Local Security Checks	2023/1/8	2024/11/14	critical
194378	RHEL 8 : Satellite 6.13.5 Async のセキュリティ更新 (重要度高) (RHSA-2023:5931)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical