リモートの Fedora 40 ホストには、FEDORA-2024-b11026f492 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    新しい Upstream リリース 1.9.1 では、CVE-2024-22034 を修正しています

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2961-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - 1.9.0
      - セキュリティ：
        - .osc の特別なファイルを上書きする可能性を修正 (CVE-2024-22034 bsc#1225911) ソースファイルは現在、名前の衝突を防ぐ「sources」サブディレクトリに保存されています。そのため、「.osc」ストアのバージョンを 2.0 に変更する必要があります。
      - コマンドライン:
        - ビルド --checks パラメーターを導入
      - ライブラリ:
        - OscConfigParser: 自動の __name__ オプションを削除

    - 1.8.3
      - コマンドライン:
        -「repairwc」コマンドを変更して、常にすべての修復ステップを実行する
      - ライブラリ:
        - KeyinfoPubkey および KeyinfoSslcert モデルのほとんどのフィールドをオプションにする
        - colorize() を修正し、空の文字列がカラーエスケープシーケンスにラップされるのを回避する
        - get_results() 関数の kwargs.get/pop にデフォルト値を提供する

    - 1.8.2
      - ライブラリ:
        -「repairwc」コマンドを変更し、欠落している .osc/_osclib_version を修正する
        - check_store_version() のエラーメッセージをより一般的なものにし、プロジェクトとパッケージの両方で動作するようにする
        - プロジェクトストアの check_store_version を修正する

    - 1.8.1
      - コマンドライン:
        -「--disable-build」または「--disable-publish」オプションと共に使用した際の「linkpac」コマンドのクラッシュを修正する

    - 1.8.0
      - コマンドライン:
        -「submitrequest」コマンドを改善し、置き換えられたリクエストから説明を継承
        - ファイルの名前を複数回変更する場合の「mv」コマンドを修正
        - プロジェクトをサポートするために「info」コマンドを改善
        - チェックアウト外の「-M」/「--multibuild-package」オプションを受け入れることで、「getbinaries」コマンドを改善
        -「release」コマンドにアーキテクチャフィルタリングを追加
        -「results」コマンドを変更し、normal パッケージと multibuild パッケージの出力が同じになるようにする
        -「results」コマンドを変更し、csv を文字列としてフォーマットする代わりに csv ライターを使用
        -「results」コマンドに相互排他的なオプションの結合エラーを追加
        - csv 出力に対してのみ「results --format」のデフォルト値を設定
        - デフォルトのテキストモード用の「results --format」のサポートを追加
        -「results」コマンドの「--format」オプションのヘルプテキストを更新
        -「results --fail-on-error/-F」フラグを追加
        - stderr からの venv 警告をデバッグ出力にリダイレクトします
      - 構成: 
        - 重複するセクションまたはオプションで例外をスローするように構成パーサーを修正
        - conf.get_config() を変更して、アクセス許可の警告を stdout ではなく stderr に出力するようにする
      - ライブラリ:
        - obs_scm.Store で check_store_version() を実行し、プロジェクトおよびパッケージでの関連コードを修正
        -「cpio」アーカイブからの絶対パスでファイルを抽出することを禁止 (bsc#1122683)
        -「ar」アーカイブからの絶対パスでファイルを抽出することを禁止 (bsc#1122683)
        - core.unpack_srcrpm() から有効でなくなった警告を削除
        - obs_api.KeyinfoSslcert のキー ID および指紋フィールドをオプションにする
        - ビルド build.create_build_descr_data() の戻り値を修正
        -「multibuild_packages」引数に従うように core.get_package_results() を修正
      - テスト:
        - フィクスチャを変更しないようにテストを修正

    - 1.7.0
      - コマンドライン:
        -「person search」コマンドを追加
        -「person register」コマンドを追加
        -「-M/--multibuild-package」オプションを「[what]dependson」コマンドに追加
        -「maintainer」コマンドの「-U/--user」オプションを更新し、メールアドレスも受け入れるようにする
        -「branch」コマンドを修正し、存在しないパッケージで「--new-package」オプションを使用できるようにする
        -「buildinfo」コマンドを修正して、デフォルトで obs:cli_debug_packages を含める
        -「buildinfo」コマンドが完全なローカルビルド環境を送信するように「buildinfo」コマンドを修正しました。「build」コマンドが送信するようにする
        - 引数なしで作業コピー外で実行する場合にエラーが発生するように「maintainer --devel-project」を修正しま
        -「service remoterun prj/pac」の引数処理を修正
        -「rebuild」コマンドを修正し、「--all」オプションが「package」引数と競合するようにする
        -「linkpac」コマンドで dst パッケージメタから「scmsync」要素を削除する際のクラッシュを修正
        -「linkpac」コマンドで dst パッケージメタを読み込む際のクラッシュを修正
        -「osc rpmlint」が CWD から prj/pkg を推論できるようにする
        - run() および do_() コマンドラインメソッドから終了コードを伝播
        - scmsync git がホストされているヒントを提供
        - 不完全な仕様で作業する際の「updatepacmetafromspec」コマンドでのクラッシュを修正
        - rpmspec を呼び出してデータをクエリすることにより、rpm spec マクロを拡張するために「updatepacmetafromspec」コマンドを改善
        - BuildRequires を解析するために *.inc ファイルを OBS にアップロードすることにより、「build」および「buildinfo」コマンドを改善 (bsc#1221340)
        - 実行中のサービスの名前を印刷することで「service」コマンドを改善
        - バイナリ名が指定されている場合に、ソースおよび debuginfo フィルターを無視することで「getbinaries」コマンドを改善
        -「build_jobs」が > 0 の場合にのみ、「--jobs」オプションを「build」ツールに渡すように「build」コマンドを変更
        -「list」コマンドのヘルプを説明し、バイナリのリストには md5 チェックサムが含まれないことを明記
        -「log」コマンドを改善: 適切な CSV および XML 出力を生成し、テキスト出力に対して -p/--patch オプションを追加
        - setlinkrev が特定の vrev を設定できるようにする
        -「build」コマンドのヘルプで「--buildtool-opt=--noclean」の例を文書化
        - コマンドラインのデフォルトパッケージ引数の処理を修正
      - 構成: 
        - env 変数から設定を読み込むドキュメント
      - 接続:
        - エラー 400 で再試行しない
        - 現在は使用されていない「retry_on_400」http_request() オプションを XmlModel から削除
        -「core.server_diff() の 400 HTTP ステータスコードで再試行しない」を元に戻す
        -「接続: 400 HTTP ステータスコードで再試行を無効にすることを許可」を元に戻す
      - 認証:
        - SignatureAuthHandler を更新して、フィンガープリントによる ssh 鍵の指定をサポート
        - コメント「obs=<apiurl-hostname>」を含む ssh エージェントからの ssh キーを使用
        - SignatureAuthHandler のバイトの代わりに文字列を使用
        - SecretService からのパスワードをキャッシュして、承諾ダイアログによるユーザーのスパム行為を回避
        - ヘルプを表示する際に認証情報を求めない
        - 未使用の SignatureAuthHandler.get_fingerprint() を削除
      - ライブラリ:
        -「qemu」VM タイプに対するルートのないビルドのサポートを追加
        - scmsync プロジェクトからのパッケージのパッケージリンクをサポート
        - リクエスト ID の代わりに None を返すように do_createrequest() 関数を修正
        - BaseModel.dict() で、無効な「if」を「elif」に置き換え
        - 優先パッケージが定義されていない場合のクラッシュを修正
        - XML による操作をカプセル化する XmlModel クラスを追加
        - 新規ユーザーを登録するために obs_api.Person.cmd_register() を追加
        - oscrc perms を比較する際にファイルタイプビットを無視するために conf.get_config() を修正
        - conf.get_config() を修正し、環境変数が設定されている場合にオーバーライドを正しく処理
        - os.isatty() が OSError をスローする際の output.tty.IS_INTERACTIVE を修正
        - 改行文字に従うように cmdln.HelpFormatter を改善
        -「output.tty」モジュールのカラーコードのリストを更新
        - core.set_devel_project() のために core.setDevelProject() を削除
        - 削除する制御文字を output.sanitize_text() に移動
        - sanitize_text() を改善して、選択された CSI エスケープシーケンスを維持
        - 中間一時ファイルを作成せずにラインをページャーにパイプする output.pipe_to_pager() を追加
        - NamedTemporaryFile に関連する output.safe_write() を修正
        - output.run_pager() を最新化
        - output.print_msg() を拡張し、「to_print」引数の「error」および「warning」値を受け入れる
        - キーワード引数を xpath クエリに変換するために、XPathQuery クラスを追加
        - obs_api.Keyinfo クラスを追加
        - obs_api.Package クラスを追加
        - コミットログをリストするために Package.get_revision_list() を追加
        - OBS SCM ソースを処理するために obs_api.PackageSources クラスを追加
        - obs_api.Person クラスを追加
        - obs_api.Project クラスを追加
        - obs_api.Request クラスを追加
        - obs_api.Token クラスを追加
        - XmlModel インスタンスに apiurl を保存できるようにする
        - トップレベルのモデルからデフォルトのフィールド値を取得できるようにする
        - BaseModel を修正して、モデルリストの取得時に辞書をオブジェクトに変換
        - 初回使用時に常に変更可能なデフォルトを deepcopy するように BaseModel を修正
        - do_snapshot() および has_changed() メソッドを実装して、BaseModel の変更を判断
        - BaseModel の全順序付けを実装
        - 編集済みの XML に、利用可能な属性/要素のコメントを追加
      - リファクタリング:
        - repo の {list,add,remove} コマンドを obs_api.Project に移行
        - core.show_package_disabled_repos() を obs_api.Package に移行
        - core.Package.update_package_meta() を obs_api.Package に移行
        - core.get_repos_of_project() を obs_api.Project に移行
        - core.get_repositories_of_project() を obs_api.Project に移行
        - core.show_scmsync() を obs_api.{Package,Project} に移行
        - core.set_devel_project() を obs_api.Package に移行
        - core.show_devel_project() を obs_api.Package に移行
        - Fetcher.run() を obs_api.Keyinfo に移行
        - core.create_submit_request() を obs_api.Request に移行
        -「token」コマンドを obs_api.Token に移行
        -「whois/user」コマンドを obs_api.Person に移行
        -「signkey」コマンドを obs_api.Keyinfo に移行
        - print_msg() を「osc.output」モジュールに移動
        - run_pager() および get_default_pager() を「core」から「output」モジュールに移動
        - core.Package を obs_scm.Package に移動
        - core.Project を obs_scm.Project に移動
        - store を操作する関数をコアから obs_scm.store へ移動
        - store.Store を obs_scm.Store に移動
        - core.Linkinfo を obs_scm.Linkinfo に移動
        - core.Serviceinfo を obs_scm.Serviceinfo に移動
        - core.File を obs_scm.File に移動
        - _private.project.ProjectMeta を obs_api.Project にマージ
      - 仕様:
        - %python3_fix_shebang マクロを使用して、/usr/bin/python3 の依存関係を削除 (bsc#1212476)

    - 1.6.2
      - コマンドライン:
        -「branch」コマンドを修正し、存在しないパッケージで「--new-package」オプションを使用できるようにする
        -「buildinfo」コマンドを修正して、デフォルトで obs:cli_debug_packages を含める
        -「buildinfo」コマンドが完全なローカルビルド環境を送信するように「buildinfo」コマンドを修正しました。「build」コマンドが送信するようにする
        -「osc rpmlint」が CWD から prj/pkg を推論できるようにする
        - run() および do_() コマンドラインメソッドから終了コードを伝播
        - scmsync git がホストされているヒントを提供
        - 不完全な仕様で作業する際の「updatepacmetafromspec」コマンドでのクラッシュを修正
      - 認証:
        - SecretService からのパスワードをキャッシュして、承諾ダイアログによるユーザーのスパム行為を回避
        - ヘルプを表示する際に認証情報を求めない
      - ライブラリ:
        - scmsync プロジェクトからのパッケージのパッケージリンクをサポート
        - リクエスト ID の代わりに None を返すように do_createrequest() 関数を修正
        - BaseModel.dict() で、無効な「if」を「elif」に置き換え
        - 優先パッケージが定義されていない場合のクラッシュを修正

    - 1.6.1
      - コマンドライン:
        - 完了に busybox と互換性のあるコマンドを使用
        - 新しい get_user_input() 関数を使用するように「wipe」コマンドを変更
        -「meta attribute <prj>」実行時のエラー 500 を修正
      - 構成: 
        - 実際の構成ファイルへの構成シンボリックリンクの解決を修正
        - XDG_CONFIG_HOME および XDG_CACHE_HOME 環境変数を遵守
        - XDG_CONFIG_HOME および ~/.oscrc が存在する場合に ~/.config/osc/oscrc を無視することについて警告
      - ライブラリ:
        - scmsync パッケージをブランチングする際のエラー
        - ユーザー入力の一貫した処理のための新しい get_user_input() 関数
        - xml_indent、xml_quote、xml_unquote を osc.util.xml モジュールに移動
        - makeurl() をリファクタリングし、文字列またはリスト引数を取るクエリを廃止し、osc_urlencode() をドロップ
        - すべてのパスの引用を削除 (makeurl() に依存)
        - makeurl() で常に dict クエリを使用
        - core.slash_split() を修正し、先頭と末尾のスラッシュの両方を削除

    - 1.6.0
      - コマンドライン:
        -「token --trigger」コマンドは、デフォルトで「--operation=runservice」を設定しなくなった。
        -「token --create」コマンドを、「--operation」必須コマンドに変更
        -「linkdiff」コマンドエラー 400 を修正: prj/pac/md5 がリポジトリにない
        -「build」コマンドを更新し、updateinfo.xml データを使用して「productcompose」ビルドタイプのビルドをサポート
        - インタラクティブでないターミナルでメーターを表示しない
        - ブランチをプロジェクトにマッピングすることに失敗する任意の git リポジトリから osc を実行するときのトレースバックを修正 (bsc#1218170)
      - 構成: 
        - 環境変数からの認証情報の読み取りを実装
        - --configfile が空であるか、/dev/null を指している場合、空の構成で開始することを許可
        -「quiet」設定オプションを実装
        - パスワードを空の文字列にできる (通常、ssh 認証で使用)
      - 接続:
        - osc api リクエストでも -X HEAD を許可
      - ライブラリ:
        - 認証情報マネージャーが一貫してパスワードを返すように修正
        - python の Password.encode() を修正 3.8
        -「meter」モジュールをリファクタリングし、構成設定を使用して適切なクラスを選択
        - using f-strings に変換
        - Field.get_callback を使用して quiet/verbose および http_debug/http_full_debug オプションを処理
        - Field クラスへの戻り値の変更を可能にする get_callback を実装
        - List[BaseModel] タイプのサポートを Field クラスに追加
        - BaseModel オブジェクトのインスタンス化中にエラーを報告する際にクラス名を報告
        - BaseModel.dict() での空のモデルフィールドのエクスポートを修正
        - 辞書からのサブモデルインスタンスの初期化を修正
        - モデルで「Enum」サポートを実装
        - Optional タイプの Field.origin_type を修正
        - BaseModel.dict() メソッドから未使用の「exclude_unset」引数をドロップ
        - キャッシュされたモデルデフォルトを self._defaults に保存し、変更可能なデフォルトへの参照の共有を回避
        - その場で新しい属性を作成することを禁止することで、モデル属性を事前定義されたフィールドに制限
        - プライベート属性の代わりに、self._values dict にモデル値を保存
      - 仕様:
        - ssh 認証中に必要な ssh-add に対して openssh-clients を推奨
        - usptreamed されなかった 0%{?amzn} マクロを追加

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:2963-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    0.183.0
      - .osc の特別なファイルを上書きする可能性を修正 (CVE-2024-22034 bsc#1225911) ソースファイルは現在、名前の衝突を防ぐ「sources」サブディレクトリに保存されています。そのため、「.osc」ストアのバージョンを 2.0 に変更する必要があります。
      - core.py のエラーを伴う二重引用符を修正

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-18d9a6ba14 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    新しい Upstream リリース 1.9.1 では、CVE-2024-22034 を修正しています

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 攻撃者は、.osc 内の特別なファイルを実際のパッケージソース（_apiurl など）に入れる可能性があります。これにより、攻撃者は、被害者の osc の構成を変更することができます（CVE-2024-22034）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
207244	Fedora 40 : osc (2024-b11026f492)	Nessus	Fedora Local Security Checks	2024/9/13	2024/9/13	medium
205862	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: osc (SUSE-SU-2024:2961-1)	Nessus	SuSE Local Security Checks	2024/8/20	2024/8/20	medium
205863	SUSE SLES12 セキュリティ更新: osc (SUSE-SU-2024:2963-1)	Nessus	SuSE Local Security Checks	2024/8/20	2024/8/20	medium
207215	Fedora 39 : osc (2024-18d9a6ba14)	Nessus	Fedora Local Security Checks	2024/9/13	2024/9/13	medium
227903	Linux Distros のパッチ未適用の脆弱性: CVE-2024-22034	Nessus	Misc.	2025/3/5	2025/8/27	medium

検出

プラグインの検索

medium

medium

medium

medium

medium