このビルドバージョン20190128への更新では、以下の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2017-14804：ファイル名チェックのextractbuildが改善されています（bsc#1069904）

修正された非セキュリティ問題：

  - 最初のSLE 15 SP1 config（bsc#1122895）を追加します。この更新はSUSEからインポートされています：SLE-15：更新プロジェクトを更新します。

This update for build version 20190128 fixes the following issues :

Security issue fixed :

  - CVE-2017-14804: Improve file name check extractbuild     (bsc#1069904)

Non-security issue fixed :

  - Add initial SLE 15 SP1 config (bsc#1122895) This update     was imported from the SUSE:SLE-15:Update update project.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 20171128 之前的 build 套件未在擷取 build 結果期間檢查目錄名稱進而允許不受信任的版本在目標系統之外寫入進而允許逸出 buildroot。
    (CVE-2017-14804)

請注意，Nessus 依賴供應商報告的套件存在。

New version of `osc` and `obs-build` including fix for CVE-2017-14804 and support for container builds using `buildah` and `podman`.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This OBS toolchain update fixes the following issues :

Package 'build' :

  - CVE-2010-4226: force use of bsdtar for VMs (bnc#665768)

  - CVE-2017-14804: Improve file name check extractbuild     (bsc#1069904)

  - switch baselibs scheme for debuginfo packages from     foo-debuginfo-32bit to foo-32bit-debuginfo (fate#323217)

Package 'obs-service-source_validator' :

  - CVE-2017-9274: Don't use rpmbuild to extract sources,     patches etc. from a spec (bnc#938556).

  - Update to version 0.7

  - use spec_query instead of output_versions using the     specfile parser from the build package (boo#1059858)

Package 'osc' :

  - update to version 0.162.0

  - add Recommends: ca-certificates to enable TLS     verification without manually installing them.
    (bnc#1061500)

This update was imported from the SUSE:SLE-12:Update update project.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The build package before 20171128 did not check directory names during extraction of build results that     allowed untrusted builds to write outside of the target system,allowing escape out of buildroots.
    (CVE-2017-14804)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 20171128 之前的构建程序包在提取版本结果期间未检查目录名称允许不受信任的版本在目标系统之外写入从而允许离开 buildroots。
    (CVE-2017-14804)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

新しいバージョンの「osc」および「obs-build」には、 CVE-2017-14804の修正、ならびに「buildah」および「podman」を使用するコンテナビルドのサポートが含まれています。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 20171128 より前のビルドパッケージは、ビルド結果の抽出中にディレクトリ名をチェックしませんでした。これにより、信頼できないビルドがターゲットシステム外に書き込むことができ、buildroot からのエスケープが可能になります。
    (CVE-2017-14804)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

このOBSツールチェーンの更新では、以下の問題を修正します：

パッケージ「ビルド」：

  - CVE-2010-4226：VMのbsdtarの使用を強制します（bnc#665768）

  - CVE-2017-14804：ファイル名チェックのextractbuildが改善されています（bsc#1069904）

  - debuginfoパッケージのbaselibsスキームが、foo-debuginfo-32bitからfoo-32bit-debuginfoに切り替わります（fate#323217）

パッケージ「obs-service-source_validator」：

  - CVE-2017-9274：仕様からソースやパッチなどを抽出するためにrpmbuildを使用しません（bnc#938556）。

  - バージョン 0.7 に更新してください

  - ビルドパッケージからspecfileパーサーを使用して、output_versionsの代わりにspec_queryを使用します（boo#1059858）

パッケージ「osc」：

  - バージョン0.162.0に更新してください

  - 推奨を追加します手動でインストールせずにTLS検証を有効にするCA証明書。
    （bnc#1061500）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
122416	openSUSEセキュリティ更新プログラム：ビルド（openSUSE-2019-232）	Nessus	SuSE Local Security Checks	2019/2/25	2024/6/18	medium
122416	openSUSE Security Update : build (openSUSE-2019-232)	Nessus	SuSE Local Security Checks	2019/2/25	2024/6/18	medium
253694	Linux Distros 未修補的弱點：CVE-2017-14804	Nessus	Misc.	2025/8/24	2025/8/24	medium
117301	Fedora 27 : obs-build / osc (2018-fac5420dd1)	Nessus	Fedora Local Security Checks	2018/9/6	2024/8/12	medium
105242	openSUSE Security Update : the OBS toolchain (openSUSE-2017-1360)	Nessus	SuSE Local Security Checks	2017/12/14	2021/1/19	high
120936	Fedora 28 : obs-build / osc (2018-fe2cbf0c2b)	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	medium
253694	Linux Distros Unpatched Vulnerability : CVE-2017-14804	Nessus	Misc.	2025/8/24	2025/8/24	medium
253694	Linux Distros 未修补的漏洞：CVE-2017-14804	Nessus	Misc.	2025/8/24	2025/8/24	medium
120936	Fedora 28：obs-build / osc（2018-fe2cbf0c2b）	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	medium
253694	Linux Distros のパッチ未適用の脆弱性: CVE-2017-14804	Nessus	Misc.	2025/8/24	2025/8/24	medium
117301	Fedora 27：obs-build / osc（2018-fac5420dd1）	Nessus	Fedora Local Security Checks	2018/9/6	2024/8/12	medium
105242	openSUSEセキュリティ更新プログラム：OBSツールチェーン（openSUSE-2017-1360）	Nessus	SuSE Local Security Checks	2017/12/14	2021/1/19	high

检测

插件搜索

medium

medium

medium

medium

high

medium

medium

medium

medium

medium

medium

high