There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Cosign provides code signing and transparency for containers and binaries. Prior to versions 2.6.2 and
    3.0.4, Cosign bundle can be crafted to successfully verify an artifact even if the embedded Rekor entry
    does not reference the artifact's digest, signature or public key. When verifying a Rekor entry, Cosign
    verifies the Rekor entry signature, and also compares the artifact's digest, the user's public key from
    either a Fulcio certificate or provided by the user, and the artifact signature to the Rekor entry
    contents. Without these comparisons, Cosign would accept any response from Rekor as valid. A malicious
    actor that has compromised a user's identity or signing key could construct a valid Cosign bundle by
    including any arbitrary Rekor entry, thus preventing the user from being able to audit the signing event.
    This issue has been patched in versions 2.6.2 and 3.0.4. (CVE-2026-22703)

  - Cosign provides code signing and transparency for containers and binaries. Prior to 3.0.6 and 2.6.3,
    cosign verify-blob-attestation may erroneously report a "Verified OK" result for attestations with
    malformed payloads or mismatched predicate types. For old-format bundles and detached signatures, this was
    due to a logic flaw in the error handling of the predicate type validation. For new-format bundles, the
    predicate type validation was bypassed completely. This vulnerability is fixed in 3.0.6 and 2.6.3.
    (CVE-2026-39395)

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Cosign provides code signing and transparency for containers and binaries. Prior to 3.0.6 and 2.6.3,
    cosign verify-blob-attestation may erroneously report a "Verified OK" result for attestations with
    malformed payloads or mismatched predicate types. For old-format bundles and detached signatures, this was
    due to a logic flaw in the error handling of the predicate type validation. For new-format bundles, the
    predicate type validation was bypassed completely. This vulnerability is fixed in 3.0.6 and 2.6.3.
    (CVE-2026-39395)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Cosign 為容器和二進位檔提供程式碼簽署和透明度。在 3.0.6 和 2.6.3之前，cosign verify-blob-attestation 可能會錯誤地針對具有格式錯誤的承載或不相符述詞類型的證明報告已驗證的 OK 結果。對於舊格式套件組合和分離的簽章，這是因為述詞類型驗證的錯誤處理中存在邏輯缺陷。對於新格式軟體組，已完全略過述詞類型驗證。此弱點已在 和 2.6.3中3.0.6修正。
    (CVE-2026-39395)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Cosign 为容器和二进制文件提供代码签名和透明度。在 和 2.6.3之前3.0.6，cosign verify-blob-attestation 可能会针对具有格式错误的负载或谓词类型的证明错误报告 Verified OK 结果。对于旧格式捆绑和分离的签名，这是由谓词类型验证的错误处理中的逻辑缺陷引起的。对于新格式捆绑，完全绕过了谓词类型验证。此漏洞在 3.0.6 和 2.6.3中修复。
    (CVE-2026-39395)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Cosign は、コンテナとバイナリのコード署名と透明性を提供します。3.0.6および2.6.3より前に、cosign verify-blob-attestationは、不正な形式のペイロードまたは一致しない述語タイプを含む認証について、誤って「検証済みOK」結果を報告する可能性があります。古いフォーマットのバンドルとデタッチされた署名の場合、これは述語型検証のエラー処理における論理的欠陥が原因でした。新しいフォーマットのバンドルでは、述語型の検証が完全にバイパスされていました。この脆弱性は、 3.0.6 および 2.6.3 で修正されています。
    (CVE-2026-39395)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-5358fb95a0 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    4.4.2 Upstream バージョンにアップグレードしてください。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2365-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    cosign 用のこの更新は、次の問題を修正します

    - CVE-2026-39395:無効な形式のペイロードまたは一致しない述語型による不適切な認証検証(bsc#1261859)。

    cosign の変更:

    - 3.0.6 への更新:
     * DSSE 述語チェックを修正します(GHSA-w6c6-c85g-mmv6)(#4801)
     * 空白のみの証明書注釈を処理します(#4760)
     * fix(sign):セキュリティキーで署名する際に SignerVerifier を終了するのが早すぎます(#4761)
     * --new-bundle-format および --rfc3161-timestamp を許可しません(#4762)
     * 適合性テストにおけるマネージドキーをサポート(#4728)
     * GCE メタデータサーバー env var のサポートを追加します(#4732)
     * 修正:WriteAttestationsReferrer でレイヤーごとの注釈を保存(#4709)
     * 文字列述部に対する in-toto の解析を修正します
     * フラグのバッチを非推奨にマークします(#4698)
     * 検証中にキーと証明書 ID が併用されることを許可しません(#4636)
     * GitLab グループでのキー作成をサポート(#4704)
    - s390x の失敗したビルドを修正するために CGO_ENABLED=1 を設定します
    - 維持された golang バージョンに対するビルド(Upstream は go1.20 を使用)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Cosign provides code signing and transparency for containers and binaries. Prior to 3.0.6 and 2.6.3,     cosign verify-blob-attestation may erroneously report a Verified OK result for attestations with     malformed payloads or mismatched predicate types. For old-format bundles and detached signatures, this was     due to a logic flaw in the error handling of the predicate type validation. For new-format bundles, the     predicate type validation was bypassed completely. This vulnerability is fixed in 3.0.6 and 2.6.3.
    (CVE-2026-39395)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-5358fb95a0 advisory.

    Upgrade to 4.4.2 upstream version.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2026:2365-1 advisory.

    This update for cosign fixes the following issue

    - CVE-2026-39395: Incorrect attestation verification due to malformed payloads or mismatched predicate     types       (bsc#1261859).

    Changes for cosign:

    - update to 3.0.6:
     * Fix DSSE predicate check (GHSA-w6c6-c85g-mmv6) (#4801)
     * Handle whitespace-only certificate annotation (#4760)
     * fix(sign): closing SignerVerifier too early when signing with      a security key (#4761)
     * Disallow --new-bundle-format and --rfc3161-timestamp (#4762)
     * support managed keys in conformance testing (#4728)
     * Add support for GCE metadata server env var (#4732)
     * fix: preserve per-layer annotations in      WriteAttestationsReferrer (#4709)
     * Fix parsing of in-toto for string predicates
     * Mark batch of flags for deprecation (#4698)
     * disallow key and cert identity being used together      during verification (#4636)
     * support key creation in GitLab group (#4704)
    - Set CGO_ENABLED=1 for fixing s390x failed build
    - build against a maintained golang version (upstream uses go1.20)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
441757	Alpine: multiple cosign packages: security update to 2.6.3-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/5/12	2026/7/2	medium
441757	Alpine: multiple cosign packages: security update to 2.6.3-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/5/12	2026/7/2	medium
440001	SCA: security update for github.com/sigstore/cosign (GHSA-w6c6-c85g-mmv6)	Tenable Cloud Security	SCA Checks	2026/4/8	2026/7/2	medium
440001	SCA: security update for github.com/sigstore/cosign (GHSA-w6c6-c85g-mmv6)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/8	2026/7/2	medium
305573	Linux Distros 未修補的弱點：CVE-2026-39395	Nessus	Misc.	2026/4/8	2026/6/3	medium
305573	Linux Distros 未修补的漏洞：CVE-2026-39395	Nessus	Misc.	2026/4/8	2026/6/3	medium
305573	Linux Distros のパッチ未適用の脆弱性: CVE-2026-39395	Nessus	Misc.	2026/4/8	2026/6/3	medium
321737	Fedora 43:singularity-ce(2026-5358fb95a0)	Nessus	Fedora Local Security Checks	2026/6/20	2026/6/20	high
321040	SUSE SLED15 / SLES15 セキュリティ更新:cosign(SUSE-SU-2026:2365-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	medium
305573	Linux Distros Unpatched Vulnerability : CVE-2026-39395	Nessus	Misc.	2026/4/8	2026/6/3	medium
321737	Fedora 43 : singularity-ce (2026-5358fb95a0)	Nessus	Fedora Local Security Checks	2026/6/20	2026/6/20	high
321040	SUSE SLED15 / SLES15 Security Update : cosign (SUSE-SU-2026:2365-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

high

medium