リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、33ba2241-c68e-11ee-9ef3-001999f8d30b のアドバイザリに記載されている脆弱性の影響を受けます。

  - Composer は、PHP 言語の依存関係マネージャーです。影響を受けるバージョンには、Composer の呼び出し中および実行ユーザーのコンテキストで、ローカル作業ディレクトリ内のいくつかのファイルが含まれます。
    このように、特定の条件下で任意のコードを実行すると、改ざんされたファイルがあるディレクトリ内で Composer が呼び出されたときに、ローカルの権限昇格を引き起こしたり、ユーザーのラテラルな移動を引き起こしたり、悪意のあるコードを実行したりする可能性があります。composer.phar の自己更新を含むすべての Composer CLI コマンドが影響を受けます。次のシナリオはリスクが高いです。sudo で実行されている Composer、信頼できないプロジェクトで Composer を実行する可能性のあるパイプライン、同じプロジェクトで個別に Composer を実行する開発者との共有環境。この脆弱性は、バージョン 2.7.0 および 2.2.23 で修正されました。パッチを適用したバージョンをできるだけ早く適用することが推奨されます。不可能な場合は、以下の点に対処する必要があります。すべてのユーザーからすべての sudo composer 権限を削除して、root 権限昇格を緩和し、信頼できないディレクトリ内で Composer が実行されないようにします。または、必要に応じて、「vendor/composer/InstalledVersions.php」および「vendor/composer/installed.php」のコンテンツに信頼できないコードが含まれていないかを確認します。
    次の方法でも、これらのファイルをリセットできます。```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins ``` (CVE-2024-24821)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには USN-7603-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Thomas Chauchefoin 氏は、Composer が特定の引数を正しく処理しないことを発見しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS のみです。(CVE-2022-24828、CVE-2023-43655)

    Ed Cradock 氏は、Composer が特定のファイルの除外を適切に処理しなかったことを発見しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS のみです。
    (CVE-2024-24821)

    Martin Haunschmid 氏は、Composer が git ブランチ名を正しく処理しないことを発見しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2024-35241)

    Maciej Piechota 氏は、Composer が VCS ブランチ名を正しく処理しないことを発見しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2024-35242)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

自己報告されたバージョンによると、リモートホストで実行されている Tenable Security Center はバージョン 6.6.0 です。したがって、TNS-2025-20 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Symphony プロセスは、サブプロセスでコマンドを実行する Symphony PHP フレームワークのモジュールです。Windows では、「cmd.exe」という名前の実行可能ファイルが現在の作業ディレクトリにある場合、コマンド引数の準備時に「Process」クラスによって呼び出され、ハイジャックを引き起こす可能性があります。この問題は、リリースバージョン 5.4.46、6.4.14、7.1.7 で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-51736)

  - Symfony はウェブおよびコンソールアプリケーションの PHP フレームワークであり、再利用可能な PHP コンポーネントのセットです。バージョン 2.0.0 以降、5.0.0、6.0.0、およびバージョン 4.4.51 より前 、5.4.31、および 6.3.8 では、CodeExtension の一部の Twig フィルターが「is_safe=html」を使用していますが、実際にはその入力が安全であるかが確認されていません。バージョン 4.4.51、5.4.31、および 6.3.8 において、Symfony は影響を受けるフィルターの出力をエスケープするようになりました。(CVE-2023-46734)

  - SimpleSAMLphp SAML2 ライブラリは、SAML2 関連機能の PHP ライブラリです。バージョン 4.17.0 および 5.0.0-alpha.20 より前では、HTTPRedirect バインディングに署名混乱攻撃があります。HTTP-Redirect バインディングを介して署名付きの SAMLResponse を使用する攻撃者が、アプリケーションに署名されていないメッセージを受け入れさせる可能性があります。バージョン 4.17.0 および 5.0.0-alpha.20 には、この問題に対する修正が含まれています。(CVE-2025-27773)

Nessus はこれらの問題をテストしていないことに留意してください。ただし、代わりにアプリケーションから自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1970-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    php-composer2 用のこの更新は、次の問題を修正します

    - CVE-2026-40176:悪意のある Perforce リポジトリ定義によるコマンドインジェクション(bsc#1262254)。
    - CVE-2026-40261:悪意のある Perforce ソース参照/url によるコマンドインジェクション(bsc#1262255)。

    php-composer2 の変更:

    - 2.2.27 へのバージョン更新(Upstream LTS バージョンと整合性)
     * セキュリティ:git/hg/perforce/fossil 識別子の検証を強化し、で始まるブランチ名を確実にします - 問題を引き起こさないようにします(246f807b、246f807b、246f807b)
     * セキュリティ:queryP4User シェルコマンドにおける Perforce のエスケープされていないユーザー入力を修正しました(246f807b)
     * セキュリティ:ext-curlがない場合の安全でない3DES暗号の使用を修正しました(21ffece62)
     * Windows で = があるパスを処理する問題を修正しました(#11568)
    - バージョン 2.2.26 2025 年 12 月 30 日
     * セキュリティ:ANSI シーケンスインジェクションを修正しました(GHSA-59pp-r3rg-353g / CVE-2025-67746)
    - バージョン 2.2.25 2024 年 12 月 11 日
     * この LTS バージョンが最新の PHP で使用される場合に表示される廃止の通知を修正しました。ただし、最新の PHP サポートは保証もテストもされておらず、LTS リリースの主な目的はレガシー PHP バージョンのサポートです。(#12217)
     * プラグインが複数のクラスを定義する際の問題を修正(#12226)
     * php 設定に応じて出力に表示される重複エラーを修正しました(#12214)
     * いくつかのインスタンスで重複データを返す InstalledVersions を修正しました(#12225)
    - バージョン 2.2.24 2024 年 6 月 10 日
     * セキュリティ:悪意のある git ブランチ名によるコマンドインジェクションを修正しました(GHSA-47f6-5gq3-vx9c / CVE-2024-35241)
     * セキュリティ:悪意のある git/hg ブランチ名による複数のコマンドインジェクションを修正しました(GHSA-v9qv-c7wm-wgmf / CVE-2024-35242)
     * セキュリティ:無効な形式の URL 形式を使用することでバイパスされる可能性がある secure-http チェックを修正しました(fa3b9582c)
     * セキュリティ:linux での Windows 固有のチェックを含め、Filesystem::isLocalPath を修正しました(3c37a67c)
     * セキュリティ:perforce 引数のエスケープを修正しました(3773f775)
     * セキュリティ:アーカイブ抽出時の zip 爆弾の処理を修正しました(de5f7e32)
     * セキュリティ:Windows コマンドパラメーターのエスケープを修正し、最適なエンコーディングで Unicode 文字の悪用を防止しました
     * 変換(3130a7455、04a63b324)
    - バージョン 2.2.23 2024 年 2 月 8 日
     * セキュリティ:危険にさらされたベンダーディレクトリの内容を介した、コード実行および潜在的な権限昇格を修正しました(GHSA-7c6p-848j-wh5h / CVE-2024-24821)
    - バージョン 2.2.22 2023 年 9 月 29 日
     * セキュリティ:composer.phar がパブリックにアクセス可能で、PHPとして実行可能で、register_argc_argv が php.ini で有効である場合に発生する可能性のあるリモートコードの実行の脆弱性を修正しました(GHSA-jm6m-4632-36hf / CVE-2023-43655)
     * プライベートBitbucketから複数のファイルをパラレルでダウンロードする際の認証の問題を修正(#11464)
     * Windows 上の破損したジャンクションの処理を修正しました(#11550)
     * 部分的な更新を行う際のパスリポジトリパッケージでの root エイリアスのロードを修正しました(#11632)
     * OSX SecureTransport による lib-curl-openssl バージョンの解析を修正しました(#11534)
     * 別の PHP プロセスに含まれ、値を返す場合にバイナリプロキシが透過的でない問題を修正しました(#11454)
     * 読み取り専用としてマークされているプラグインクラスのサポートを修正しました(#11404)
     * GitHubレート制限レポートを修正しました(#11366)
     * % 記号を含むブランチ名によるソルバー問題の表示問題を修正しました(#11359)
    - バージョン 2.2.21 2023 年 2 月 15 日
     * インストール前チェックを行う際の PluginInstaller の extra.plugin-optional サポートを修正しました(#11326)
    - バージョン 2.2.20 2023 年 2 月 10 日
     * 非対話型(#11315)実行時に重要ではない不明なプラグインの自動無効化を可能にする extra.plugin-optional サポートを追加しました
    - バージョン 2.2.19 2023 年 2 月 4 日
     * 新しい GitHub パーソナルアクセストークンフォーマットを処理するために URL サニタイザーを修正しました(#11137)
     * _ が a-b と a_b などのパッケージ名の間の競合を回避できるようにキャッシュキーを修正しました(#11229)
     * 競合ルールに適用されないように上限無視を伴う --ignore-platform-req 処理を修正しました(#11037)
     * 0 に設定したときのCOMPOSER_DISCARD_CHANGESの処理を修正しました
    - バージョン 2.2.18 2022 年 8 月 20 日
     * COMPOSER_NO_DEVを修正しました。これにより、必須および削除の --update-no-dev でも動作するようにします(#10995)
     * 重複していない拡張子の警告が表示される問題を修正しました(#10938)
     * hg バージョン検出を修正しました(#10955)
     * キャッシュが所定の参照をロードした後に git タグが作成される際の git キャッシュの無効化の問題を修正しました(#11004)
    - バージョン 2.2.17 2022 年 7 月 13 日
     * ターゲットディレクトリが CWD 外であっても、 create-project または validate など場合に読み込まれる CWD/ベンダーからのプラグインを修正しました(#10935)
     * レガシー(Composer 1.x、例えば hirak/prestissimo)プラグインのサポートを修正しました。これは、許可プラグインにない場合、いずれにしてもロードされないため、警告/エラーを発生させなくなります(#10928)
     * --no-plugins を考慮しない許可されたプラグインに対するインストール前のチェックを修正しました(#10925)
     * disk_free_spaceを含む disable_functions のサポートを修正しました(#10936)
     * プラグインとの相互運用性の問題を回避するために常にルートパッケージのクローンを作成するように RootPackageRepository の使用を修正しました(#10940)
    - バージョン 2.2.16 2022 年 7 月 5 日
     * 壊れたインストールを回避するために警告で続行する代わりに、スローすることを許可するプラグインの非インタラクティブな動作を修正しました(#10920)
     * allow-plugins BC モードを修正し、2.2 より前に作成された古いロックファイルが、警告が表示されるだけでプラグインがフルロードされるようにインストールできます(#10920)
     * 廃止通知を修正しました(#10921)
    - バージョン 2.2.15 2022 年 7 月 1 日
     * ファイルシステムが書き込みできない場合でのキャッシュ読み取り専用のサポートを修正しました(#10906)
     * allow-plugins 使用時のタイプエラーを修正しました:true(#10909)
     * コマンドに渡された引数を受信するスクリプト@putenvを修正しました(#10846)
     * Windows上のバイナリプロキシを持つパスのスペースのサポートを修正しました(#10836)
     * ブランチを一覧表示できない場合の GitDownloader でのタイプエラーを修正しました(#10888)
     * PHP 5.3.3 の RootPackageInterface の問題を修正しました(#10895)
    - バージョン 2.2.14 2022 年 6 月 6 日
     * パッケージがまだインストールされているかどうかをチェックするときの、壊れたシンボリックリンクの処理を修正しました(#6708)
     * 名前の JSON スキーマ正規表現パターンを修正し、JS 互換性が必要(#10811)
     * bin プロキシを修正し、プロキシが別のプロキシを安全に含めるようにしました(#10823)
     * gitlab-token JSON スキーマ定義を修正(#10800)
     * openssl 3.x バージョン解析が修正され、現在は semver に準拠しているため、修正されています
     * json ファイルが読み取れない場合のタイプエラーを修正しました(#10818)
     * funding.yml での複数行の配列の解析を修正しました(#10784)
    - バージョン 2.2.13 2022 年 5 月 25 日
     * GitLab トークンを設定する際の無効な認証情報ループを修正しました(#10748)
     * PHP 8.2 の廃止を修正しました(#10766)
     * ロックファイル作成が無効な場合でも出力されるロックファイルの変更を修正しました
     * 同一のホスト名で認証を求める複数のリクエストが同時に発動された場合の競合状態を修正しました(#10763)
     * Windowsのコンマの引用を修正しました(#10775)
     * シンボリックリンク機能が無効なパスリポジトリをインストールする際の問題を修正しました(#10786)
    - バージョン 2.2.12 2022 年 4 月 13 日
     * セキュリティ:HgDriver/GitDriver のコマンドインジェクションの脆弱性を修正しました(GHSA-x7cr-6qr6-2hh6/ CVE-2022-24828)
     * DNS 解決エラーが発生した場合に再試行しない curl ダウンローダーを修正しました(#10716)
     * composer.lock ファイルが、ロックコンフィグレーションオプションが無効な場合でも使用/読み込み中であることを修正しました(#10726)
     * ロックオプションが無効化されている場合でも、ロックファイルをチェックするコマンドの検証を修正しました(#10723)
    - バージョン 2.2.11 2022 年 4 月 1 日
     * composer-schema.json で欠落している config.bitbucket-oauth を追加
     * --2.2 フラグを自己更新に追加し、Composer のバージョンを 2.2 LTS 範囲(#10682)に固定するようにしました
     * マイナー修正のために semver、jsonlint deps を更新しました
     * パッケージのパスが壊れている場合の自動ロードクラッシュの生成を修正しました(#10688)
     * ロックファイルからリロードし dev deps を抽出するときに機能しないため、 #10372 から dev-master=>dev-main エイリアスを削除しました(#10651)
    - バージョン 2.2.10 2022 年 3 月 29 日
     * API 変更による Bitbucket 承認の検出を修正しました(#10657)
     * 定義されている場合に、dist/ソースキーに関する検証コマンド警告を修正しました(#10655)
     * 破損した 0 バイト zip アーカイブの削除/処理を修正しました(#10666)
    - バージョン 2.2.9 2022 年 3 月 15 日
     * パッケージのインストールパスを変更するプラグインの回帰を修正しました。そのようなプラグインを作成している場合はドキュメントを参照してください(#10621)
    - バージョン 2.2.8 2022 年 3 月 15 日
     * ファイル自動ロードのソート順序が完全に決定論的になるように修正しました(#10617)
     * プール最適化がエッジケースを渡す問題を修正しました(#10579)
     * self.version が制約として使用される場合に require コマンドが失敗する問題を修正しました(#10593)
     * --no-ansi / 装飾が無効な出力が repo 警告で色が表示され続ける問題を修正しました(#10601)
     * プール最適化ステップのパフォーマンス改善(composer/semver#131)
    - バージョン 2.2.7 2022 年 2 月 25 日
     * composer/xdebug-handler ^3(#10528)と一緒にインストールできるようにします
     * ライセンスコマンド出力のライセンスのないパッケージのサポートを修正しました(#10537)
     * allow-plugins:警告を残していた false の処理を修正しました(#10530)
     * enum キーワードが小文字でない場合のクラスマップ生成での enum 解析を修正しました(#10521)
     * スキーマが名前のみを許可しているにもかかわらず、電子メールを必要とする init コマンドにおける作成者の解析を修正しました(#10538)
     * 存在しない(しかし、必要な他のものによって提供される)パッケージが必要な場合の、require コマンドの問題を修正しました(#10541)
     * プール最適化ステップのパフォーマンス改善(#10546)
    - バージョン 2.2.6 2022 年 2 月 4 日
     * BC Break:見落としのため、Composer 2.2.2 に追加されたバイナリの COMPOSER_BIN_DIR env var の名前を COMPOSER_RUNTIME_BIN_DIR に変更する必要がありました(#10512)
     * 次のスペースなしで enum foo:string のような構文を使用したクラスマップ生成における列挙型解析を修正しました:
    (#10498)
     * 入力を urlencode しないパッケージ検索を修正しました(#10500)
     * 再インストールコマンドが pre-install-cmd/post-install-cmd イベントを発生させない問題を修正しました(#10514)
     * symlink: true オプションが古い Windows および古い PHP コンボで無視される、パスリポジトリにおけるエッジケースを修正しました(#10482)
     * テストパッケージの最新の symfony/コンソールリリース(#10499)との互換性を修正しました
     * 一部のエラーレポートエッジケースを修正しました(#10484、 #10451、 #10493)
    - バージョン 2.2.5 2022 年 1 月 21 日
     * 実行時に Composer\InstalledVersions を使用して機能できるため、デフォルトで composer/package-versions-deprecated を無効にしました(#10458)
     * phar ファイルがディレクトリに存在する場合のアーティファクトリポジトリのクラッシュを修正しました(#10406)
     * プロキシされたバイナリパスで fseek が使用されている場合の PHP <8 でのバイナリプロキシの問題を修正しました(#10468)
     * パッケージリポジトリメタデータの文字列以外のバージョンの処理を修正しました(#10470)
    - バージョン 2.2.4 2022 年 1 月 8 日
     * インストール中に非同期プロセスを実行する際のプロセスタイムアウトの処理を修正しました
     * プロジェクトでリポジトリが無効な場合の GitLab API 処理を修正しました(#10440)
     * Unicode 文字を含む環境変数(例:APPDATA)の読み取りを修正し、WindowsのPHPバグを回避(#10434)
     * パスレポジトリがパスレポジトリによって必要とされる場合に、パスレポジトリがない部分的な更新の問題を修正しました(#10431)
     * 新しいビンプロキシを介したバイナリのソーシングのサポートを修正しました(#10389)
     * GitHub トークンに SSO 認証が必要な場合のメッセージングを修正しました(#10432)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0592-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Composer は、PHP 言語の依存関係マネージャーです。影響を受けるバージョンには、Composer の呼び出し中および実行ユーザーのコンテキストで、ローカル作業ディレクトリ内のいくつかのファイルが含まれます。
    このように、特定の条件下で任意のコードを実行すると、改ざんされたファイルがあるディレクトリ内で Composer が呼び出されたときに、ローカルの権限昇格を引き起こしたり、ユーザーのラテラルな移動を引き起こしたり、悪意のあるコードを実行したりする可能性があります。composer.phar の自己更新を含むすべての Composer CLI コマンドが影響を受けます。次のシナリオはリスクが高いです。sudo で実行されている Composer、信頼できないプロジェクトで Composer を実行する可能性のあるパイプライン、同じプロジェクトで個別に Composer を実行する開発者との共有環境。この脆弱性は、バージョン 2.7.0 および 2.2.23 で修正されました。パッチを適用したバージョンをできるだけ早く適用することが推奨されます。不可能な場合は、以下の点に対処する必要があります。すべてのユーザーからすべての sudo composer 権限を削除して、root 権限昇格を緩和し、信頼できないディレクトリ内で Composer が実行されないようにします。または、必要に応じて、「vendor/composer/InstalledVersions.php」および「vendor/composer/installed.php」のコンテンツに信頼できないコードが含まれていないかを確認します。
    次の方法でも、これらのファイルをリセットできます。```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins ``` (CVE-2024-24821)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-539 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Composer は、PHP 言語の依存関係マネージャーです。影響を受けるバージョンには、Composer の呼び出し中および実行ユーザーのコンテキストで、ローカル作業ディレクトリ内のいくつかのファイルが含まれます。
    このように、特定の条件下で任意のコードを実行すると、改ざんされたファイルがあるディレクトリ内で Composer が呼び出されたときに、ローカルの権限昇格を引き起こしたり、ユーザーのラテラルな移動を引き起こしたり、悪意のあるコードを実行したりする可能性があります。composer.phar の自己更新を含むすべての Composer CLI コマンドが影響を受けます。次のシナリオはリスクが高いです。sudo で実行されている Composer、信頼できないプロジェクトで Composer を実行する可能性のあるパイプライン、同じプロジェクトで個別に Composer を実行する開発者との共有環境。この脆弱性は、バージョン 2.7.0 および 2.2.23 で修正されました。パッチを適用したバージョンをできるだけ早く適用することが推奨されます。不可能な場合は、以下の点に対処する必要があります。すべてのユーザーからすべての sudo composer 権限を削除して、root 権限昇格を緩和し、信頼できないディレクトリ内で Composer が実行されないようにします。または、必要に応じて、「vendor/composer/InstalledVersions.php」および「vendor/composer/installed.php」のコンテンツに信頼できないコードが含まれていないかを確認します。
    次の方法でも、これらのファイルをリセットできます。```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins ``` (CVE-2024-24821)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
190374	FreeBSD: Composer -- コードの実行および権限昇格の可能性 (33ba2241-c68e-11ee-9ef3-001999f8d30b)	Nessus	FreeBSD Local Security Checks	2024/2/9	2024/2/19	high
241064	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Composer の脆弱性 (USN-7603-1)	Nessus	Ubuntu Local Security Checks	2025/7/1	2025/7/1	high
266393	Tenable Security Center の複数の脆弱性 (TNS-2025-20)	Nessus	Misc.	2025/10/2	2025/10/2	high
315284	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:1970-1)	Nessus	SuSE Local Security Checks	2026/5/19	2026/5/19	medium
190923	SUSE SLES15 / openSUSE 15 セキュリティ更新: php-composer2 (SUSE-SU-2024:0592-1)	Nessus	SuSE Local Security Checks	2024/2/23	2026/6/26	high
191593	Amazon Linux 2023 : composer (ALAS2023-2024-539)	Nessus	Amazon Linux Local Security Checks	2024/3/6	2024/12/11	high

検出

プラグインの検索

high

high

high

medium

high

high