リモートの Debian 13 ホストには、dsa-6453 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6453-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 20 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : libgit2 CVE ID : CVE-2026-5917 CVE-2026-53583 CVE-2026-53584 CVE-2026-53585 CVE-2026-53586 CVE-2026-53587 Debian バグ : 1144465

    低レベルの Git ライブラリである libgit2 に複数のセキュリティ問題が発見されました。これにより、リモート SSH サーバーでの任意のコマンドの実行、認証情報の漏洩、サービス拒否、またはリポジトリの作業ツリー外のディレクトリの作成が引き起こされる可能性があります。

    安定版ディストリビューション (trixie) では、これらの問題はバージョン 1.9.0+ds-2+deb13u1 で修正されています。

    お使いの libgit2 パッケージをアップグレードすることを推奨します。

    libgit2 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/libgit2

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには、USN-8809-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Kazuma Matsumoto 氏および Isabel Mill 氏は、SSH トランスポートの使用時に libgit2 が特定のリポジトリの URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を悪用して、任意のコマンドを実行する可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-2083 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    OpenSSL バックエンドにおける libgit2 の反転 IP SubjectAltName の比較(vuln_1_1_1)(CVE-2026-53583)

    libgit2 サブモジュールのパストラバーサル (CVE-2026-53584)

    Delta Object Result-Size ヘッダーを介した無制限のメモリ割り当て (CVE-2026-53585)

    libgit2 の内蔵 HTTP トランスポートは、デフォルトで、最初のスマート HTTP リクエストのオフサイトリダイレクトに従います。
    リダイレクトされたサーバーが 401 Unauthorized を返すと、libgit2 はアプリケーション認証情報のコールバックに、リダイレクトされた URL ではなく、元のリモート URL を使用して認証情報を要求します。返された認証情報は、リダイレクトされたホストに対する次のリクエストに認証ヘッダーとして添付されます。(CVE-2026-53586)

    バージョン 1.9.4 以前の libgit2 は、src/libgit2/transports/smart_p kt.c の set_data() のヒープ領域外読み取りに対して脆弱です。

    脆弱なコードは、smart-protocol pkt-line の未検証の機能バッファに対して固定サイズの strncmp (smart_pkt.c:239) を使用しています。隣接する受信バッファの pkt-line に続くバイト列がたまたま ct-format= で始まっている場合、比較が誤って一致し、format_str が pkt-line の境界を超えて進みます。次の memchr(format_str, ' ', len - (format_str - line)) (smart_pkt.c:246) は、それ自体の size_t サイズ引数を ~SIZE_MAX にアンダーフローさせ、スペースバイトを探すヒープをウォークします。HTTP/HTTPS/SSH/git:// を介して到達した Git サーバーをコントロールする (または中間者攻撃を行う) 認証されていないリモートの攻撃者が、機能ネゴシエーションが行われる前に、refs アドバタイズメントの最初の ref-pkt でこれを発生させる可能性があります。OOB ウォークは、memchr がマッピングされていないページに入るとプロセスクラッシュ (SIGSEGV) を引き起こします。また、ヒープの配置によっては、memchr がクラッシュする前に浮遊スペースバイトを検出する場合があり、その場合はさらに git_error_set(...'%.*s', format_len, format_str) フォーマッターによってヒープメモリの大きな範囲がエラー文字列にコピーされる可能性があります。(CVE-2026-53587)

    libssh2 SSHバックエンド(USE_SSH=libssh2)で構築されたバージョンv0.27.0からv1.9.0のlibgit2には、シェルコマンドインジェクションの脆弱性が含まれており、これによりリモートの攻撃者が、一重引用符、セミコロン、パイプなどのエスケープされていないシェルメタ文字を含むリポジトリパスを提供することで、SSHサーバーで任意のコマンドを実行する可能性があります。ssh_libssh2.c の gen_proto() 関数は、リポジトリパスを特殊文字のエスケープなしでシェルコマンド文字列に直接挿入してから libssh2_channel_exec() に渡します。これにより、攻撃者が .gitmodules ファイルに悪意のあるサブモジュール URL を細工して、再帰クローン中に処理された際に、リモートサーバーのシェルに被害者の SSH ユーザーアカウントで挿入されたコマンドを解釈させることが可能になります。(CVE-2026-5917)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、dla-4831アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4831-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Simon Quigley 2026 年 10 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ:libgit2 バージョン: 1.5.1+ds-1+deb12u2 CVE ID: CVE-2026-5917 CVE-2026-53584 CVE-2026-53585 CVE-2026-53586 Debian バグ:1144465

    低レベルの Git ライブラリである libgit2 に、複数のセキュリティ問題が発見されました。これにより、パストラバーサル、サービス拒否、認証情報の漏洩、または SSH サーバーでの任意のコマンドの実行が引き起こされる可能性があります。

    CVE-2026-5917

        リポジトリパスが SSH 経由でサーバーに送信されるコマンドで、一重引用符で囲まれてエスケープされずに配置されたため、単一引用符を含むパスは SSH サーバー上で任意のコマンドを実行する可能性があります。
        パスはエスケープされました。

    CVE-2026-53584

        .gitmodules から読み取られるサブモジュールパスが .. がチェックされていなかったため、悪意のあるリポジトリがサブモジュールの検索、追加、初期化、更新を作業ツリー外の動作にさせる可能性があります。そのようなパスは現在拒否されています。

    CVE-2026-53585

        Deltaアプリケーションは、Deltaヘッダーが宣言した結果サイズを割り当てたため、小さな悪意のあるpackfileが巨大なメモリ割り当てを強制し、サービス拒否を引き起こす可能性があります。デルタアプリケーションによって生成されるオブジェクトは、デフォルトで 2 GiB に制限されるようになりました。制限はGIT_OPT_SET_PACK_MAX_OBJECT_SIZEで変更できます。

    CVE-2026-53586

        最初の HTTP リクエストでのオフサイトリダイレクトの後でも、認証情報のコールバックにはまだ元の URL が与えられていたため、認証情報ヘルパーが、元のホストの認証情報をリダイレクトターゲットに渡す可能性があります。コールバックは、実際に接触されているホストを受信するようになりました。

    Debian 12 bookworm では、これらの問題はバージョン 1.5.1+ds-1+deb12u2 で修正されています。

    お使いの libgit2 パッケージをアップグレードすることを推奨します。

    libgit2 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/libgit2

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-2113 のアドバイザリに記載されている脆弱性の影響を受けます。

    libssh2 SSHバックエンド(USE_SSH=libssh2)で構築されたバージョンv0.27.0からv1.9.0のlibgit2には、シェルコマンドインジェクションの脆弱性が含まれており、これによりリモートの攻撃者が、一重引用符、セミコロン、パイプなどのエスケープされていないシェルメタ文字を含むリポジトリパスを提供することで、SSHサーバーで任意のコマンドを実行する可能性があります。ssh_libssh2.c の gen_proto() 関数は、リポジトリパスを特殊文字のエスケープなしでシェルコマンド文字列に直接挿入してから libssh2_channel_exec() に渡します。これにより、攻撃者が .gitmodules ファイルに悪意のあるサブモジュール URL を細工して、再帰クローン中に処理された際に、リモートサーバーのシェルに被害者の SSH ユーザーアカウントで挿入されたコマンドを解釈させることが可能になります。(CVE-2026-5917)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-74c4a6f82e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Rust バインディング (git2 や libgit2-sys クレート) 経由で libgit2 を使用するアプリケーションを、libgit2-sys クレートの最新バージョンで再ビルドしてください。

    これにより、アプリケーションはシステム提供の libgit2 ライブラリに確実にリンクされます。これには、以前に libgit2-sys クレートにバンドルされていた静的にリンクされたバージョンの libgit2 と異なり、種々のセキュリティ問題の修正が含まれるようになりました (CVE-2026-5917、CVE-2026-53586、CVE-2026-53587、CVE-2026-53585、CVE-2026-53584、CVE-2026-53583 など)。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-7ebec18d52 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Rust バインディング (git2 や libgit2-sys クレート) 経由で libgit2 を使用するアプリケーションを、libgit2-sys クレートの最新バージョンで再ビルドしてください。

    これにより、アプリケーションはシステム提供の libgit2 ライブラリに確実にリンクされます。これには、以前に libgit2-sys クレートにバンドルされていた静的にリンクされたバージョンの libgit2 と異なり、種々のセキュリティ問題の修正が含まれるようになりました (CVE-2026-5917、CVE-2026-53586、CVE-2026-53587、CVE-2026-53585、CVE-2026-53584、CVE-2026-53583 など)。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
338355	Debian dsa-6453 : libgit2-1.9 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/20	2026/9/18	high
349786	Ubuntu 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 26.04 LTS:libgit2の脆弱性(USN-8809-1)	Nessus	Ubuntu Local Security Checks	2026/9/24	2026/10/14	high
341845	Amazon Linux 2023 : libgit2、libgit2-devel (ALAS2023-2026-2083)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/9/18	high
370004	Debian DLA-4831:libgit2-1.5 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/10/21	2026/10/21	high
342044	Amazon Linux 2023 : cargo-c (ALAS2023-2026-2113)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/8/31	high
335900	Fedora 44: rust-bat/rust-git-delta/rust-git-interactive-rebase-tool/etc (2026-74c4a6f82e)	Nessus	Fedora Local Security Checks	2026/8/16	2026/9/18	high
335948	Fedora 43 : rust-bat / rust-git-delta / rust-git-interactive-rebase-tool / etc (2026-7ebec18d52)	Nessus	Fedora Local Security Checks	2026/8/17	2026/9/18	high

検出

プラグインの検索

high

high

high

high

high

high

high