リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0777-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン への更新 3.0.5 jsc#SLE-23879。

    セキュリティの問題を修正:

    - CVE-2025-11065github.com/go-viper/mapstructure/v2ログの機密情報の漏洩bsc#1250620。
    - CVE-2025-58181golang.org/x/crypto/ssh多数のメカニズムを無効にすると、際限のないメモリ消費を引き起こす可能性がありますbsc#1253913
    - CVE-2026-22703検証は、特定の条件下で、有効な Rekor エントリを受け入れますbsc#1256496。
    - CVE-2026-22772github.com/sigstore/fulcioMetaIssuer URL 検証のバイパスにより、任意の内部サービスに SSRF を発生させる可能性がありますbsc#1256562。
    - CVE-2026-23991github.com/theupdateframework/go-tuf/v2TUF リポジトリによって返される無効な TUF メタデータ JSON によるサービス拒否bsc#1257080。
    - CVE-2026-23992github.com/theupdateframework/go-tuf/v2侵害された、または誤って構成された TUF リポジトリによる、TUF メタデータファイルへの認証されない変更bsc#1257085]
    - CVE-2026-24122期限切れの CA 証明書を維持する証明書の不適切な検証bsc#1258542。
    - CVE-2026-24137github.com/sigstore/sigstore/pkg/tufレガシー TUF クライアントが、ターゲットキャッシュパストラバーサルで任意のファイル書き込みを可能にしますbsc#1257139。
    - CVE-2026-26958filippo.io/edwards25519MultiScalarMult のレシーバーを初期化できない結果が、無効な結果を生成し、未定義の動作を引き起こす可能性がありますbsc#1258612。

    その他の更新およびバグ修正:

    * chore(deps)google.golang.org/api を 0.260.0 から 0.264.0 へ更新します#4679]
    * chore(deps)github.com/sigstore/rekor-tiles/v2 を 2.0.1 から 2.1.0 へ更新します#4670]
    * chore(deps)filippo.io/edwards25519 を 1.1.0 から 1.1.1 へ更新します#4712]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4680]
    * chore(deps)4 つの更新で 1 ディレクトリ全体で gomod グループを更新します#4702]
    * chore(deps)3 つの更新でアクショングループを更新します#4703]
    * golang ビルダーを更新し、go1.25.7 を使用するようにします#4687]
    * golangci-lint を v2.8.x に更新#4688
    * DSSE 署名適合性テストをサポートします#4685
    * chore(deps)8 つの更新で 1 ディレクトリ全体にアクショングループを更新します#4689]
    * rekor-entry-type フラグを廃止します#4691
    * cosign Triangulate を廃止します#4676
    * cosign コピーを廃止します#4681
    * Rekor v2、Fuclio 署名に対して TSA 要件を強制します#4683
    * chore(deps)github.com/theupdateframework/go-tuf/v2 を更新します#4668]
    * chore(deps)すべてのグループで golang を 1.25.5 から 1.25.6 へ更新します#4673]
    * Rekor v2 エントリで署名済みタイムスタンプを自動的に要求#4666
    * コンプライアンステストの構文問題を修正、ナイトリー更新#4664]
    * 署名構成で署名する際に TSA クライアント接続の mTLS サポートを追加します#4620
    * 修正無効な形式の tlog エントリ本文でのパニックを回避#4652
    * 証明書だけでなく、チェーンの有効性を検証します#4663
    * v2 および v3 署名に対して --new-bundle-format のある --local-image を許可します#4626
    * chore(deps)3 つの更新で 1 ディレクトリ全体の gomod グループを更新します#4662]
    * sigstore/sigstore を更新して GHSA を解決します#4660
    * バンドルペイロード本文が文字列でない場合、正常に失敗します#4648
    * 修正無効な形式の置換ペイロードでのパニックを回避#4653
    * chore(deps)github.com/sigstore/rekor を 1.4.3 から 1.5.0 へ更新します#4659]
    * 修正無効な形式の認証ペイロードでのパニックを回避#4651
    * 修正無効な形式の tlog エントリでのパニックを回避#4649
    * 適合性を最新の に更新してください
    * docs(cosign)失効セマンティックを明確化します RFC3161#4642
    * ペイロードタイプが application/vnd.in-toto+json である場合、空の述語を署名に追加#4635
    * chore(deps)github.com/sigstore/fulcio を 1.8.4 から 1.8.5 へ更新します#4637]
    * ctfe の信頼できるルートに対して生成元キーを追加します
    * v3.0.4 および v2.6.2 に変更ログの更新を追加#4625

    - バージョン 3.0.4 への更新:

    * 古いバンドル/信頼できる root に対するバンドル検証パスを修正します#4623
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4616]
    * chore(deps)gomod グループの uelang.org/go を更新します#4615
    * ダイジェスト解決をキャッシュすることで cosign ツリーのパフォーマンスを最適化します#4612
    * オフラインでの鍵付き検証に信頼できるルートを必要としません#4613
    * trusted-root および signing-config の作成に対してデフォルトサービスをサポートします#4592
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4602]
    * chore(deps)github.com/sigstore/sigstore-go を更新します#4578]
    * chore(deps)github.com/buildkite/agent/v3 を 3.114.1 から 3.115.2 へ更新します#4601]
    * chore(deps)google.golang.org/api を 0.257.0 から 0.258.0 へ更新します#4611]
    * chore(deps)k8s.io/client-go を 0.34.3 から 0.35.0 へ更新します#4604]
    * chore(deps)action/upload-artifact を 5.0.0 から 6.0.0 へ更新します#4588]
    * chore(deps)golang.org/x/oauth2 を 0.33.0 から 0.34.0 へ更新します#4586]
    * chore(deps)5 つの更新で gomod グループを更新します#4599]
    * chore(deps)github.com/open-policy-agent/opa を 1.10.1 から 1.12.1 へ更新します#4600]
    * chore(deps)golang.org/x/term を 0.37.0 から 0.38.0 へ更新します#4584]
    * chore(deps)3 つの更新でアクショングループを更新します#4587]
    * chore(deps)アクション/キャッシュを 4.3.0 から 5.0.1 へ更新します#4589]
    * chore(deps)9 つの更新で gomod グループを更新します#4577]

    - バージョン 3.0.3 への更新:

    * 45544554 を閉じます - --output* が使用される場合に警告を追加します#4556]
    * chore(deps)golangci/golangci-lint-action を 8.0.0 から 9.1.0 へ更新します#4545]
    * chore(deps)github.com/buildkite/agent/v3 を 3.111.0 から 3.113.0 へ更新します#4542]
    * chore(deps)github.com/awslabs/amazon-ecr-credential-helper/ecr-login を更新します#4543
    * chore(deps)アクション/チェックアウトを 5.0.0 から 6.0.0 へ更新します#4546]
    * chore(deps)アクショングループを 4 つの更新で更新します#4544
    * chore(deps)5 つの更新で 1 ディレクトリ全体で gomod グループを更新します#4567]
    * chore(deps)すべてのグループで golang を 1.25.4 から 1.25.5 へ更新します#4568]
    * go1.25.5 を使用するためにビルダーを更新#4566
    * サブコマンド「clean」の protobuf バンドルサポート#4539
    * staging フラグを追加し、staging TUF メタデータで初期化します
    * slap invite リンクを更新#4560
    * sign-blob を更新し、証明書付きの署名もサポートします#4547
    * sigstore ライブラリの依存関係を更新します#4532
    * サブコマンド「save」および「load」の protobuf バンドルサポート#4538
    * 署名構成で新しいバンドルに対する証明書の添付を修正します
    * ローカル証明書で OCI 検証を修正します - 旧バンドル
    * chore(deps)github.com/sigstore/fulcio を 1.7.1 から 1.8.1 へ更新します#4519]
    * chore(deps)/test/fakeoidc の golang.org/x/crypto を更新します#4535]
    * chore(deps)golang.org/x/crypto を 0.43.0 から 0.45.0 へ更新します#4536]
    * go builder を更新し、cosign を更新#4529
    * chore(deps)7 つの更新で 1 ディレクトリ全体の gomod グループを更新します#4528]
    * chore(deps)sigstore/cosign-installer を 3.10.0 から 4.0.0 へ更新します#4478]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4520]
    * chore(deps)すべてのグループで golang を 1.25.3 から 1.25.4 へ更新します#4515]
    * chore(deps)golang.org/x/oauth2 を 0.32.0 から 0.33.0 へ更新します#4518]
    * chore(deps)uelang.org/go を 0.14.2 から 0.15.0 へ更新します#4524]
    * chore(deps)github.com/open-policy-agent/opa を 1.9.0 から 1.10.1 へ更新します#4521]
    * chore(deps)action/upload-artifact を 4.6.2 から 5.0.0 へ更新します#4502]
    * chore(deps)2 つの更新で 1 つのディレクトリ全体でアクショングループを更新します#4516]
    * chore(deps)github.com/buildkite/agent/v3 を 3.110.0 から 3.111.0 へ更新します#4523]
    * chore(deps)github.com/theupdateframework/go-tuf/v2 を更新します#4522]
    * tlog-upload フラグを廃止します#4458
    * 修正「sign」cli パッケージのシグナルコンテキストを使用します。
    * オフライン検証の方向を更新#4526
    * 新しいバンドルの署名/検証の注釈を修正
    * protobuf バンドルに対するダウンロードとアタッチのサポートを追加#4477
    * --signing-algorithm フラグを追加します#3497
    * signcommon バンドルヘルパーをリファクタリングします
    * 新しいバンドルに対して --bundle を追加し、 --upload を修正します
    * 安全でないレジストリフラグを参照元に渡します
    * chore(deps)github.com/buildkite/agent/v3 を 3.108.0 から 3.109.1 へ更新します#4483]
    * tree サブコマンドに対して protobuf バンドルサポートを追加します#4491
    * 古い埋め込みインポートを削除します#4492
    * 複数のコンテナ ID のサポート
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4484]
    * chore(deps)アクショングループの chainguard-dev/actions を更新します#4480]
    * chore(deps)github.com/sigstore/rekor-tiles/v2 を更新します#4485]
    * chore(deps)golang.org/x/crypto を 0.42.0 から 0.43.0 へ更新します#4486]
    * chore(deps)gomod グループの uelang.org/go を更新します#4479
    * OSS-Fuzz ビルドツールのアップグレード#4487
    * 認証が見つからない場合のセグメンテーション違反を修正#4472
    * 新しいバンドル形式に対してオーバーライドされたリポジトリを使用します#4473
    * update go to 1.25.3#4471]
    * 「cosign initialize」から --out フラグを削除します#4462
    * chore(deps)2 つの更新でアクショングループを更新します#4460]
    * オフラインフラグを廃止します#4457
    * sign/attest* および verify* コマンドのコードの重複を排除します#4449
    * 初期化を呼び出す際のキャッシュ署名構成#4456
    * v3.0.2 用の変更ログを更新#4455
    * chore(deps)google.golang.org/api を 0.250.0 から 0.251.0へ更新
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します
    * chore(deps)3 つの更新でアクショングループを更新します
    * chore(deps)github.com/buildkite/agent/v3 を 3.107.2 から 3.108.0へ更新します
    * KMS 署名済みリリース署名に対して異なる署名ファイル名を選択します#4448
    * chore(deps)github.com/go-jose/go-jose/v4 を更新します#4451]
    * rekor-tiles バージョンパスを更新
    * v3.0.1 リリースの CL を更新します#4447
    * v3.0.0 リリースの goreleaser 構成を更新#4446
    * v3.0.0 用の変更ログを作成#4440
    * デフォルトで TUF PGI 署名構成からサービス URL をフェッチします#4428
    * v2.6.1 用の変更ログを作成#4439
    * chore(deps)google.golang.org/api を 0.249.0 から 0.250.0 へ更新します#4432]
    * chore(deps)2 つの更新で gomod グループを更新します#4429]
    * chore(deps)github.com/open-policy-agent/opa を 1.8.0 から 1.9.0 へ更新します#4433]
    * chore(deps)3 つの更新でアクショングループを更新します#4434]
    * chore(deps)github.com/go-openapi/swag を 0.24.1 から 0.25.1 へ更新します#4435]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4436]
    * chore(deps)github.com/go-openapi/runtime を 0.28.0 から 0.29.0 へ更新します#4437]
    * Cosign v3.0 に対してモジュールバージョンを v3 に更新します#4427
    * sigstore-conformance をタグ付けされたリリースに戻します#4425
    * sigstore-go を v1.1.3 へ更新#4423
    * 新しいバンドルで作業する際に cosign verify の出力を部分的に設定します#4416
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4419]
    * chore(deps)github.com/theupdateframework/go-tuf/v2 を更新します#4418]
    * chore(deps)github.com/buildkite/agent/v3 を 3.105.0 から 3.107.0 へ更新します#4420]
    * chore(deps)アクショングループの chainguard-dev/actions を更新します#4421]
    * go ビルダーを更新し、 1.25.1 と cosign を使用します#4417]
    * より正確なユーザーエージェントのために sigstore-go を更新#4413
    * chore(deps)github.com/spf13/viper を 1.20.1 から 1.21.0 へ更新します#4408]
    * chore(deps)2 つの更新でアクショングループを更新します#4407]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4410]
    * chore(deps)github.com/buildkite/agent/v3 を 3.104.0 から 3.105.0 へ更新します#4411]
    * 新しい protobuf フォーマットの使用をデフォルトにします#4318

    - バージョン 2.6.0 への更新:

    * 署名時に のみ SigningConfig またはサービス URL が必要です#4403
    * sigstore-go による署名中にターミナルスピンナーを追加します#4402
    * sigstore-go を更新し、キーによる代替ハッシュアルゴリズムをサポート#4386]
    * sign/attest の SigningConfig に対するサポートを追加します#4371
    * sigstore-go で署名する際の自己管理キーをサポート#4368]
    * sign-blob/verify-blob で SHA256 想定を削除します#4050
    * dockerfile を導入し、go バージョンを固定し、go バージョンを go.mod から分離します#4369]
    * refactor関数を抽出してリファラー認証を書き込みます#4357
    * e2e ビルドタグでインポートサイクルを中断します#4370
    * 署名構成用の適合性テストバイナリを更新#4367
    * go1.25 を使用するためにビルダーイメージを更新#4366
    * 信頼できるルートパスが指定されている場合、TUF からコンテンツをロードしません#4347
    * キーによる検証時にタイムスタンプを必須としません#4337
    * 新しいバンドル形式に対するcosign署名/検証を修正#4346
    * go1.24.6 を使用するためにビルダーを更新#4334
    * golangci-lint を v2.3.x へ更新#4333
    * cosign がバンドル形式をサポートします#4316
    * sign-blob/attest-blob に対する SigningConfig のサポートを追加し、Rekor v2 をサポートします#4319
    * クレームのチェック時にのみバンドルでサブジェクトを検証します#4320
    * 完全な in-to ステートメントを提供する機能を「attest-blob」に追加し、ダイジェストだけで検証する機能を「verify-blob-attestation」に追加します#4306]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Cosignはコンテナやバイナリに対してコード署名と透過性を提供します。2.6.2 および 3.0.4より前のバージョンでは、埋め込まれた Rekor エントリがアーティファクトのダイジェスト、署名、または公開鍵を参照していない場合でも、アーティファクトが正常に検証されるよう Cosign バンドルを細工することができます。Rekor エントリを検証する場合、Cosign は Rekor エントリ署名を検証し、さらに、アーチファクトのダイジェスト、Fulcio 証明書またはユーザー提供のユーザーの公開鍵、およびアーティファクト署名を Rekor エントリコンテンツと比較します。これらを比較しない場合、Cosign は Rekor からのあらゆる応答を有効なものとして受け入れます。ユーザーの ID または署名鍵を侵害した悪意のある攻撃者が、任意の Rekor エントリを含めることによって有効な Cosign バンドルを構築し、そのためにユーザーが署名イベントを監査できなくする可能性があります。
    この問題には、バージョン 2.6.2および 3.0.4でパッチが適用されています。(CVE-2026-22703)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている runfinch-finch のバージョンは、1.14.1-1 より前です。したがって、ALAS2DOCKER-2026-097 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/http: Request.ParseForm におけるメモリ枯渇 (CVE-2025-61726)

    archive/zip: 任意の ZIP アーカイブを解析する際のサービス拒否 (CVE-2025-61728)

    crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (CVE-2025-61730)

    crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (CVE-2025-68121)

    Cosign は、コンテナおよびバイナリに対するコード署名と透過性を提供します。2.6.2 および 3.0.4より前のバージョンでは、埋め込まれた Rekor エントリがアーティファクトのダイジェスト、署名、または公開鍵を参照していない場合でも、アーティファクトが正常に検証されるよう Cosign バンドルを細工することができます。Rekor エントリを検証する場合、Cosign は Rekor エントリ署名を検証し、さらに、アーチファクトのダイジェスト、Fulcio 証明書またはユーザー提供のユーザーの公開鍵、およびアーティファクト署名を Rekor エントリコンテンツと比較します。これらを比較しない場合、Cosign は Rekor からのあらゆる応答を有効なものとして受け入れます。ユーザーの ID または署名鍵を侵害した悪意のある攻撃者が、任意の Rekor エントリを含めることによって有効な Cosign バンドルを構築し、そのためにユーザーが署名イベントを監査できなくする可能性があります。
    この問題には、バージョン 2.6.2および 3.0.4でパッチが適用されています。(CVE-2026-22703)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1420 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/http: Request.ParseForm におけるメモリ枯渇 (CVE-2025-61726)

    archive/zip: 任意の ZIP アーカイブを解析する際のサービス拒否 (CVE-2025-61728)

    crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (CVE-2025-61730)

    crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (CVE-2025-68121)

    Cosign は、コンテナおよびバイナリに対するコード署名と透過性を提供します。2.6.2 および 3.0.4より前のバージョンでは、埋め込まれた Rekor エントリがアーティファクトのダイジェスト、署名、または公開鍵を参照していない場合でも、アーティファクトが正常に検証されるよう Cosign バンドルを細工することができます。Rekor エントリを検証する場合、Cosign は Rekor エントリ署名を検証し、さらに、アーチファクトのダイジェスト、Fulcio 証明書またはユーザー提供のユーザーの公開鍵、およびアーティファクト署名を Rekor エントリコンテンツと比較します。これらを比較しない場合、Cosign は Rekor からのあらゆる応答を有効なものとして受け入れます。ユーザーの ID または署名鍵を侵害した悪意のある攻撃者が、任意の Rekor エントリを含めることによって有効な Cosign バンドルを構築し、そのためにユーザーが署名イベントを監査できなくする可能性があります。
    この問題には、バージョン 2.6.2および 3.0.4でパッチが適用されています。(CVE-2026-22703)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-868e266938 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    0.69.3 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
301024	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新cosignSUSE-SU-2026:0777-1	Nessus	SuSE Local Security Checks	2026/3/6	2026/3/6	medium
282559	Linux Distros のパッチ未適用の脆弱性: CVE-2026-22703	Nessus	Misc.	2026/1/10	2026/4/29	medium
300150	Amazon Linux 2 : runfinch-finch、--advisory ALAS2DOCKER-2026-097 (ALASDOCKER-2026-097)	Nessus	Amazon Linux Local Security Checks	2026/3/1	2026/3/1	critical
298115	Amazon Linux 2023 : runfinch-finch (ALAS2023-2026-1420)	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/2/26	critical
306074	Fedora 43trivy2026-868e266938	Nessus	Fedora Local Security Checks	2026/4/13	2026/4/13	high

検出

プラグインの検索

medium

medium

critical

critical

high