There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Cosign is a project under the sigstore organization which aims to make signatures invisible
    infrastructure. In versions prior to 1.12.0 a number of vulnerabilities have been found in cosign verify-
    blob, where Cosign would successfully verify an artifact when verification should have failed. First a
    cosign bundle can be crafted to successfully verify a blob even if the embedded rekorBundle does not
    reference the given signature. Second, when providing identity flags, the email and issuer of a
    certificate is not checked when verifying a Rekor bundle, and the GitHub Actions identity is never
    checked. Third, providing an invalid Rekor bundle without the experimental flag results in a successful
    verification. And fourth an invalid transparency log entry will result in immediate success for
    verification. Details and examples of these issues can be seen in the GHSA-8gw7-4j42-w388 advisory linked.
    Users are advised to upgrade to 1.12.0. There are no known workarounds for these issues. (CVE-2022-36056)

リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3486-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Cosign は、署名を見えないインフラストラクチャにすることを目的とした、sigstore という組織のプロジェクトです。1.12.0 より前のバージョンでは、cosign verify-blob に多数の脆弱性が見つかりました。これは、検証に失敗するはずのアーティファクトが、Cosign によって正常に検証されてしまうというものです。1 つ目に、cosign バンドルを細工すれば、埋め込まれた rekorBundle が指定された署名を参照しない場合でも、blob を正常に検証できます。2 つ目に、ID フラグを提供する際に、Rekor バンドルの検証時に証明書の電子メールと発行者がチェックされず、GitHub Action の ID がチェックされません。3 つ目に、実験フラグなしで無効な Rekor バンドルを提供すると、検証が成功します。4 つ目に、透明性ログエントリが無効な場合、検証はすぐに成功します。これらの問題の詳細と例は、リンクされている GHSA-8gw7-4j42-w388 アドバイザリで確認できます。
    ユーザーは 1.12.0 にアップグレードすることを推奨します。これらの問題についての既知の回避策はありません。(CVE-2022-36056)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2022:3486-1 advisory.

    Updated to version 1.12.0 (jsc#SLE-23879):
    - CVE-2022-36056: Fixed verify-blob could successfully verify an artifact when verification should have     failed (bsc#1203430).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
412672	SCA: security update for github.com/sigstore/cosign (GHSA-8gw7-4j42-w388)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
403909	Alpine: multiple cosign packages: security update to 1.12.1-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	medium
412672	SCA: security update for github.com/sigstore/cosign (GHSA-8gw7-4j42-w388)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
403909	Alpine: multiple cosign packages: security update to 1.12.1-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	medium
165617	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: cosign (SUSE-SU-2022:3486-1)	Nessus	SuSE Local Security Checks	2022/10/2	2026/6/26	medium
165617	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : cosign (SUSE-SU-2022:3486-1)	Nessus	SuSE Local Security Checks	2022/10/2	2026/6/26	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium