The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in password-store.sh in pass in Simple Password Store 1.7.x before 1.7.2. The     signature verification routine parses the output of GnuPG with an incomplete regular expression, which     allows remote attackers to spoof file signatures on configuration files and extension scripts. Modifying     the configuration file allows the attacker to inject additional encryption keys under their control,     thereby disclosing passwords to the attacker. Modifying the extension scripts allows the attacker     arbitrary code execution. (CVE-2018-12356)

Note that Nessus relies on the presence of the package as reported by the vendor.

Update to new upstream release

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

新しい  Upstream リリースに更新してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Simple Password Store 1.7.x1.7.2より前の pass の password-store.sh に問題が見つかりました。署名認証ルーチンが、不完全な正規表現のある GnuPG の出力を解析します。これにより、リモートの攻撃者が、構成ファイルや拡張スクリプトのファイル署名を偽装する可能性があります。構成ファイルを改ざんすることで、攻撃者が自分のコントロールで追加の暗号化キーを注入し、パスワードを攻撃者に漏洩する可能性があります。拡張スクリプトを変更することにより、攻撃者は任意のコードを実行できます。CVE-2018-12356

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Jason A. Donenfeld reports :

Markus Brinkmann discovered that [the] parsing of gpg command line output with regexes isn't anchored to the beginning of the line, which means an attacker can generate a malicious key that simply has the verification string as part of its username.

This has a number of nasty consequences :

- an attacker who manages to write into your ~/.password-store and also inject a malicious key into your keyring can replace your .gpg-id key and have your passwords encrypted under additional keys;

- if you have extensions enabled (disabled by default), an attacker who manages to write into your ~/.password-store and also inject a malicious key into your keyring can replace your extensions and hence execute code.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 1.7.2之前的 Simple Password Store 1.7.x 的 pass 中的 password-store.sh 中发现一个问题。签名验证例程使用不完整的正则表达式解析 GnuPG 的输出这允许远程攻击者在配置文件和扩展脚本上欺骗文件签名。对配置文件的修改允许攻击者在其控制下注入额外的加密密钥从而将密码泄露给攻击者。修改扩展脚本会允许攻击者执行任意代码。 (CVE-2018-12356)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Simple Password Store 1.7.x1.7.2之前的版本中password-store.sh 內的 password-store.sh 發現一個問題。簽章驗證常式剖析含有不完整規則運算式的 GnuPG 輸出其允許遠端攻擊者偽造設定檔與延伸模組指令碼上的檔案簽章。修改設定檔可允許攻擊者插入受其控制的其他加密金鑰進而向攻擊者洩漏密碼。修改延伸模組指令碼可允許攻擊者執行任意程式碼。 (CVE-2018-12356)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Jason A. Donenfeldによる報告:

Markus Brinkmann氏は、正規表現によるgpgコマンドライン出力の解析が、行の先頭に固定されていないことを発見しました。これは、攻撃者が、ユーザー名の一部として単に検証文字列を持つ悪意のあるキーを生成できることを意味します。

これには、多くの厄介な結果が伴います。

- ユーザーの〜/.password-storeに書き込みを行い、悪意のあるキーをキーリングに注入する攻撃者が、.gpg-idキーを置き換え、追加キーでパスワードを暗号化する可能性があります。

- 拡張を有効にしている場合（デフォルトでは無効）、〜/.password-storeへの書き込みを管理し、悪意のあるキーをキーリングに注入する攻撃者が、拡張を置換し、コードを実行する可能性があります。

ID	名稱	產品	系列	已發布	已更新	嚴重性
254254	Linux Distros Unpatched Vulnerability : CVE-2018-12356	Nessus	Misc.	2025/8/24	2025/8/24	critical
120691	Fedora 28 : pass (2018-a89844963c)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	critical
120691	Fedora 28：pass（2018-a89844963c）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	critical
254254	Linux Distros のパッチ未適用の脆弱性: CVE-2018-12356	Nessus	Misc.	2025/8/24	2025/8/24	critical
110540	FreeBSD : password-store -- GPG parsing vulnerabilities (53eb9e1e-7014-11e8-8b1f-3065ec8fd3ec)	Nessus	FreeBSD Local Security Checks	2018/6/15	2024/9/20	critical
110669	Fedora 27 : pass (2018-a3e631b454)	Nessus	Fedora Local Security Checks	2018/6/25	2024/9/17	critical
254254	Linux Distros 未修补的漏洞：CVE-2018-12356	Nessus	Misc.	2025/8/24	2025/8/24	critical
254254	Linux Distros 未修補的弱點：CVE-2018-12356	Nessus	Misc.	2025/8/24	2025/8/24	critical
110540	FreeBSD: password-store -- GPG解析の脆弱性（53eb9e1e-7014-11e8-8b1f-3065ec8fd3ec）	Nessus	FreeBSD Local Security Checks	2018/6/15	2024/9/20	critical
110669	Fedora 27：pass（2018-a3e631b454）	Nessus	Fedora Local Security Checks	2018/6/25	2024/9/17	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical