The remote SUSE Linux SLES15 / openSUSE 15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:0297-1 advisory.

    - Update to version 0.0.20250128T150132 2025-01-28T15:01:32Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2025-3409 CVE-2025-23208 GHSA-c9p4-xwr9-rfhx
      * GO-2025-3410 CVE-2025-24337 GHSA-3qc3-mx6x-267h
      * GO-2025-3413 CVE-2025-0377 GHSA-wpfp-cm49-9m9q
      * GO-2025-3414 CVE-2024-11218 GHSA-5vpc-35f4-r8w6
      * GO-2025-3415 CVE-2025-23028 GHSA-9m5p-c77c-f9j7
      * GO-2025-3416 CVE-2025-23047 GHSA-h78m-j95m-5356
      * GO-2025-3418 CVE-2025-24030 GHSA-j777-63hf-hx76
      * GO-2025-3419 CVE-2025-24355 GHSA-v34r-vj4r-38j6
      * GO-2025-3422 CVE-2025-24354

    - Update to version 0.0.20250128T004730 2025-01-28T00:47:30Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2025-3372 CVE-2024-45339
      * GO-2025-3373 CVE-2024-45341
      * GO-2025-3383 CVE-2024-45340
      * GO-2025-3420 CVE-2024-45336
      * GO-2025-3421 CVE-2025-22865

    - Update to version 0.0.20250117T214834 2025-01-17T21:48:34Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2025-3392 CVE-2025-20086 GHSA-5m7j-6gc4-ff5g
      * GO-2025-3393 CVE-2025-21088 GHSA-8j3q-gc9x-7972
      * GO-2025-3394 CVE-2025-20088 GHSA-45v9-w9fh-33j6
      * GO-2025-3396 CVE-2024-52594
      * GO-2025-3397 CVE-2024-36402 GHSA-8vmr-h7h5-cqhg
      * GO-2025-3398 CVE-2024-52791 GHSA-gp86-q8hg-fpxj
      * GO-2025-3399 CVE-2024-52602 GHSA-r6jg-jfv6-2fjv
      * GO-2025-3400 CVE-2024-56515 GHSA-rcxc-wjgw-579r
      * GO-2025-3401 CVE-2024-36403 GHSA-vc2m-hw89-qjxf
      * GO-2025-3407 CVE-2025-20621 GHSA-w6xh-c82w-h997

    - Update to version 0.0.20250115T172141 2025-01-15T17:21:41Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2025-3381 CVE-2024-56138 GHSA-45v3-38pc-874v
      * GO-2025-3382 CVE-2024-51491 GHSA-qjh3-4j3h-vmwp
      * GO-2025-3384 CVE-2024-56323 GHSA-32q6-rr98-cjqv
      * GO-2025-3390 CVE-2024-53263 GHSA-q6r2-x2cc-vrp7
      * GO-2025-3391 CVE-2024-52281 GHSA-2v2w-8v8c-wcm9

    - Update to version 0.0.20250109T194159 2025-01-09T19:41:59Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2025-3376 CVE-2025-22149 GHSA-675f-rq2r-jw82
      * GO-2025-3377 CVE-2025-22449 GHSA-q8fg-cp3q-5jwm
      * GO-2025-3379 CVE-2025-20033 GHSA-2549-xh72-qrpm
      * GO-2025-3380 CVE-2025-22445 GHSA-7rgp-4j56-fm79

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - notion-go is a collection of libraries for supporting sign and verify OCI artifacts. Based on Notary     Project specifications. This issue was identified during Quarkslab's audit of the timestamp feature.
    During the timestamp signature generation, the revocation status of the certificate(s) used to generate     the timestamp signature was not verified. During timestamp signature generation, notation-go did not check     the revocation status of the certificate chain used by the TSA. This oversight creates a vulnerability     that could be exploited through a Man-in-The-Middle attack. An attacker could potentially use a     compromised, intermediate, or revoked leaf certificate to generate a malicious countersignature, which     would then be accepted and stored by `notation`. This could lead to denial of service scenarios,     particularly in CI/CD environments during signature verification processes because timestamp signature     would fail due to the presence of a revoked certificate(s) potentially disrupting operations. This issue     has been addressed in release version 1.3.0-rc.2 and all users are advised to upgrade. There are no known     workarounds for this vulnerability. (CVE-2024-56138)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2025:0297-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 0.0.20250128T150132 2025-01-28T15:01:32Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2025-3409 CVE-2025-23208 GHSA-c9p4-xwr9-rfhx
      * GO-2025-3410 CVE-2025-24337 GHSA-3qc3-mx6x-267h
      * GO-2025-3413 CVE-2025-0377 GHSA-wpfp-cm49-9m9q
      * GO-2025-3414 CVE-2024-11218 GHSA-5vpc-35f4-r8w6
      * GO-2025-3415 CVE-2025-23028 GHSA-9m5p-c77c-f9j7
      * GO-2025-3416 CVE-2025-23047 GHSA-h78m-j95m-5356
      * GO-2025-3418 CVE-2025-24030 GHSA-j777-63hf-hx76
      * GO-2025-3419 CVE-2025-24355 GHSA-v34r-vj4r-38j6
      * GO-2025-3422 CVE-2025-24354

    - バージョン 0.0.20250128T004730 2025-01-28T00:47:30Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2025-3372 CVE-2024-45339
      * GO-2025-3373 CVE-2024-45341
      * GO-2025-3383 CVE-2024-45340
      * GO-2025-3420 CVE-2024-45336
      * GO-2025-3421 CVE-2025-22865

    - バージョン 0.0.20250117T214834 2025-01-17T21:48:34Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2025-3392 CVE-2025-20086 GHSA-5m7j-6gc4-ff5g
      * GO-2025-3393 CVE-2025-21088 GHSA-8j3q-gc9x-7972
      * GO-2025-3394 CVE-2025-20088 GHSA-45v9-w9fh-33j6
      * GO-2025-3396 CVE-2024-52594
      * GO-2025-3397 CVE-2024-36402 GHSA-8vmr-h7h5-cqhg
      * GO-2025-3398 CVE-2024-52791 GHSA-gp86-q8hg-fpxj
      * GO-2025-3399 CVE-2024-52602 GHSA-r6jg-jfv6-2fjv
      * GO-2025-3400 CVE-2024-56515 GHSA-rcxc-wjgw-579r
      * GO-2025-3401 CVE-2024-36403 GHSA-vc2m-hw89-qjxf
      * GO-2025-3407 CVE-2025-20621 GHSA-w6xh-c82w-h997

    - バージョン 0.0.20250115T172141 2025-01-15T17:21:41Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2025-3381 CVE-2024-56138 GHSA-45v3-38pc-874v
      * GO-2025-3382 CVE-2024-51491 GHSA-qjh3-4j3h-vmwp
      * GO-2025-3384 CVE-2024-56323 GHSA-32q6-rr98-cjqv
      * GO-2025-3390 CVE-2024-53263 GHSA-q6r2-x2cc-vrp7
      * GO-2025-3391 CVE-2024-52281 GHSA-2v2w-8v8c-wcm9

    - バージョン 0.0.20250109T194159 2025-01-09T19:41:59Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2025-3376 CVE-2025-22149 GHSA-675f-rq2r-jw82
      * GO-2025-3377 CVE-2025-22449 GHSA-q8fg-cp3q-5jwm
      * GO-2025-3379 CVE-2025-20033 GHSA-2549-xh72-qrpm
      * GO-2025-3380 CVE-2025-22445 GHSA-7rgp-4j56-fm79

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - notion-go は、OCI アーティファクトの署名と検証をサポートするためのライブラリのコレクションです。Notary Project の仕様に基づきます。この問題は、タイムスタンプ機能の Quarkslab の監査中に特定されました。
    タイムスタンプ署名の生成中、タイムスタンプ署名の生成に使用された証明書の失効ステータスが検証されませんでした。タイムスタンプ署名の生成中、notation-go は TSA によって使用される証明書チェーンの失効ステータスをチェックしませんでした。こうした脆弱性が発生し、中間者攻撃を通じて悪用される可能性があります。攻撃者は、侵害された、中間、または失効したリーフ証明書を使用して、悪意のある対署名を生成する可能性があり、これは「notation」により受理され、保存されます。このため、特に CI/CD 環境での署名認証プロセス中に、サービス拒否シナリオにつながる可能性があります。これは、操作を中断させる可能性のある失効した証明書が存在することによりタイムスタンプ署名が失敗するためです。この問題は、リリースバージョン 1.3.0-rc.2 で対処されており、全ユーザーはアップグレードすることが推奨されます。この脆弱性に対する既知の回避策はありません。(CVE-2024-56138)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - notion-go 是一個程式庫集合用於支援簽章和驗證 OCI 成品。以 Notary Project 規格為基礎。此問題是在 Quarkslab 稽核時間戳記功能時發現的。
    在時間戳記簽章產生期間並未驗證用來產生時間戳記簽章的憑證撤銷狀態。在時間戳記簽章產生期間notation-go 並未檢查 TSA 所使用之憑證鏈結的撤銷狀態。此疏忽造成一個可透過攔截式攻擊惡意利用的弱點。攻擊者可能利用遭入侵的中繼憑證、中繼憑證或已撤銷的分葉憑證來產生惡意的會簽然後以「標記法」接受並儲存該副簽。這可導致拒絕服務狀況特別是在 CI/CD 環境中的簽名驗證處理程序期間因為時間戳記簽名會因為存在可能中斷作業的已撤銷憑證而失敗。此問題已在 1.3.0-rc.2 版本中解決且建議所有使用者皆升級。目前沒有任何因應措施可解決此弱點。(CVE-2024-56138)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - not-go 是用于支持签名和验证 OCI 构件的库的集合。基于 Notary Project 规范。此问题是在 Quarkslab 审计时间戳功能期间发现的。
    在时间戳签名生成期间未验证用于生成时间戳签名的证书的吊销状态。在时间戳签名生成期间notation-go 未检查 TSA 所使用证书链的吊销状态。此漏洞造成了其可通过中间人攻击而被利用的漏洞。攻击者可能使用遭到破坏的中间证书或已撤销的叶证书生成恶意会签其后会被“notation”接受并存储。这可能会造成拒绝服务情况尤其是在 CI/CD 环境中在签名验证过程期间因为存在可能中断操作的已撤销证书而导致时间戳签名失败。此问题已在版本 1.3.0-rc.2 中得到解决建议所有用户升级。目前尚无针对此漏洞的变通方案。(CVE-2024-56138)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
214906	SUSE SLES15 / openSUSE 15 Security Update : govulncheck-vulndb (SUSE-SU-2025:0297-1)	Nessus	SuSE Local Security Checks	2025/2/3	2025/4/17	high
247295	Linux Distros Unpatched Vulnerability : CVE-2024-56138	Nessus	Misc.	2025/8/10	2025/8/10	medium
214906	SUSE SLES15 / openSUSE 15 セキュリティ更新 : govulncheck-vulndb (SUSE-SU-2025:0297-1)	Nessus	SuSE Local Security Checks	2025/2/3	2025/4/17	high
247295	Linux Distros のパッチ未適用の脆弱性: CVE-2024-56138	Nessus	Misc.	2025/8/10	2025/8/10	medium
247295	Linux Distros 未修補的弱點：CVE-2024-56138	Nessus	Misc.	2025/8/10	2025/8/10	medium
247295	Linux Distros 未修补的漏洞：CVE-2024-56138	Nessus	Misc.	2025/8/10	2025/8/10	medium

检测

插件搜索

high

medium

high

medium

medium

medium