There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Dulwich is a pure-Python implementation of the Git file formats and protocols. Versions starting with
    0.10.0 and prior to 1.2.5 have an arbitrary file write leading to remote code execution when cloning or
    checking out a malicious Git repository on Windows. Dulwich's path-element validator accepted tree entries
    whose filenames contained bytes that Windows interprets as structural path syntax. Contributing
    configuration bugs made matters worse. The core.protectNTFS and core.protectHFS settings were looked up
    under a wrong option name and so user-set values were silently ignored, and core.protectNTFS only
    defaulted to true on Windows (Git upstream has defaulted it to true everywhere since CVE-2019-1353). Both
    have been corrected. Anyone who clones, fetches, or checks out an untrusted repository with Dulwich on
    Windows - either through the Dulwich CLI, porcelain.clone, or any downstream tool built on Dulwich - is
    impacted. POSIX clones are not directly exploitable (on POSIX \ is a literal filename byte), but a POSIX
    user can unknowingly propagate a malicious tree to Windows consumers via push or re-publication. This
    issue is fixed in Dulwich 1.2.5. Users should upgrade to 1.2.5 or later. There is no effective pre-patch
    workaround. On affected versions the core.protectNTFS configuration key was silently ignored, so setting
    it to true does not mitigate the issue. Users who cannot upgrade should avoid cloning, fetching, or
    checking out untrusted repositories with Dulwich on Windows. After upgrading the NTFS validator is on by
    default on every platform, so no additional configuration is required. (CVE-2026-42305)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Dulwich 是 Git 文件格式和协议的纯 Python 实现。开 0.10.0 头和之前 1.2.5 的版本包含任意文件写入，在 Windows 上克隆或签出恶意 Git 存储库时会导致远程代码执行。Dulwich 的路径元素验证器接受了树条目，其文件名包含 Windows 解释为结构路径语法的字节。促成配置错误使情况变得更糟。在错误的选项名称下查找 core.protectNTFS 和 core.protectHFS 设置，因此用户设置的值会静默忽略，并且 core.protectNTFS 仅在 Windows 上默认为 true（Git 上游在 CVE-2019-1353 之后会在所有地方都默认为 true）。两者均已更正。任何通过 Dulwich CLI、porcelain.clone 或任何构建于 Dulwich 的下游工具，在 Windows 上使用 Dulwich 克隆、获取或检验不受信任的存储库的用户都会受到影响。POSIX 克隆不可直接利用（POSIX \ 上是文本文件名字节），但 POSIX 用户可通过推送或重新发布在不知不觉中将恶意树传递给 Windows 用户。此问题已在 Dulwich 1.2.5修复。用户应升级到 1.2.5 或更高版本。目前尚无有效的修补前变通方案。在受影响的版本中，core.protectNTFS 配置密钥会静默忽略，因此将其设置为 true 无法缓解问题。无法升级的用户应避免在 Windows 上通过 Dulwich 克隆、获取或签出不受信任的存储库。升级之后，NTFS 验证器默认在每个平台上都开启，因此无需进行任何额外配置。（CVE-2026-42305）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该软件受到 ALAS2023-2026-2026 公告中提及的多个漏洞影响。

    据发现，直到 1.1.0 的 Dulwich 在 contrib/paramiko_vendor.py 中缺少 SSH 主机密钥验证。
    (CVE-2026-38974)

    在 Windows 上克隆或签出恶意 Git 存储库时，任意文件写入会导致远程代码执行。

    Dulwich 的路径元素验证器接受了树条目，其文件名包含 Windows 解释为结构路径语法的字节：

    \ -- Windows 路径分隔符。名为 .git\hooks\pre-commit.exe 的单个树条目在 POSIX 上被视为一个有效文件名，但在 Windows 上却具体化为嵌套目录 .git/hooks/pre-commit.exe，从而在受害者的 .git 目录中植入一个文件。然后，Git for Windows 在下一个 git 提交中执行该挂钩，从而使攻击者能够在受害者的用户环境中执行任意代码。相同的基元可以与 ..\outside.txt 结合使用以转义工作树。-- NTFS alternate-data-stream 标记。
    .git::$INDEX_ALLOCATION 直接写入受害者的 .git 实体，绕过 .git-as-a-directory check.git~ -- NTFS 的 NTFS 8.3 短名称别名。仅拒绝了文字 git1；git2、git10、GIT1 等全部被接受。促成配置错误使情况变得更糟。在错误的选项名称下查找 core.protectNTFS 和 core.protectHFS 设置，因此用户设置的值会静默忽略，并且 core.protectNTFS 仅在 Windows 上默认为 true（Git 上游在 CVE-2019-1353 之后会在所有地方都默认为 true）。两者均已更正。

    任何通过 Dulwich CLI、porcelain.clone 或任何构建于 Dulwich 的下游工具，在 Windows 上使用 Dulwich 克隆、获取或检验不受信任的存储库的用户都会受到影响。POSIX 克隆不可直接利用（POSIX \ 上是文本文件名字节），但 POSIX 用户可通过推送或重新发布在不知不觉中将恶意树传递给 Windows 用户。（CVE-2026-42305）

    不受控制的资源消耗（内存耗尽）拒绝服务漏洞 (CWE-400 / CWE-789)。

    具有推送访问权限的客户端可推送构建的微小精简包（~174 字节），其 delta 标头会声明巨大的 dest_size。当 dulwich 通过 add_thin_pack / apply_delta 提取此文件时，它会根据攻击者控制的大小分配数百 MB 的内存，与实际收到的字节无关。

    受影响者：运行暴露 git-receive-pack（即接受推送）的基于 dulwich 的 Git 服务器的操作员，例如通过 dulwich.server 功能、HTTP 智能服务器或任何构建于 ReceivePackHandler 的内容。(CVE-2026-47734)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Dulwich 是 Git 檔案格式和通訊協定的純 Python 實作。以 0.10.0 和之前 1.2.5 開頭的版本會寫入任意檔案，在 Windows 上複製或簽出惡意 Git 存放庫時，會導致遠端程式碼執行。德威的路徑元素驗證器接受檔案名稱包含 Windows 解釋為結構路徑語法的位元組的樹狀結構條目。導致配置錯誤使情況變得更糟。core.protectNTFS 與 core.protectHFS 設定因讀取時使用了錯誤的選項名稱，導致使用者設定的值被靜默忽略，且 core.protectNTFS 僅在 Windows 上預設為 true（而 Git 上游自 CVE-2019-1353 起已在所有環境中將其預設為 true）。兩者都已更正。任何在 Windows 上使用 Dulwich 複製、擷取或檢出不可信儲存庫的使用者，無論是透過 Dulwich CLI、porcelain.clone，還是任何基於 Dulwich 開發的下游工具，都會受到影響。POSIX 複製無法直接惡意利用 （POSIX \ 上的 \ 是文字檔名位元組），但 POSIX 使用者可能會透過推播或重新發布，在不知不覺中將惡意樹狀結構傳播給 Windows 消費者。此問題已在 Dulwich 1.2.5中修復。使用者應升級至 1.2.5 或更新版本。沒有有效的修補前因應措施。在受影響的版本上，core.protectNTFS 組態金鑰會以無訊息方式忽略，因此將其設定為 true 並不能緩解此問題。無法升級的使用者應避免在 Windows 上使用 Dulwich 複製、擷取或簽出不受信任的儲存庫。升級後，NTFS 驗證器在每個平台上預設為開啟，因此不需要額外設定。（CVE-2026-42305）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

因此，它會受到 ALAS2023-2026-2026 公告中所提及的多個弱點影響。

    Dulwich 1.1.0 之前的版本被發現於 contrib/paramiko_vendor.py 中缺少 SSH 主機金鑰驗證。
    (CVE-2026-38974)

    在 Windows 上複製或簽出惡意 Git 儲存庫時，會引發任意檔案寫入並導致遠端程式碼執行。

    Dulwich 的路徑元素驗證器接受了檔名包含 Windows 直譯為結構化路徑語法之位元組的樹狀結構項目：

    \ -- 即 Windows 路徑分隔號。名為 .git\hooks\pre-commit.exe 的單一樹狀結構項目，在 POSIX 上會被視為單一有效檔名，但在 Windows 上則會實體化為巢狀目錄 .git/hooks/pre-commit.exe，進而將檔案植入受害者的 .git 目錄中。隨後，Windows 版 Git 會在下一次執行 git commit 時執行該鉤子，讓攻擊者在受害者的使用者權限下執行任意程式碼。相同的手法亦可用於 ..\outside.txt 來逃脫工作樹。: -- 即 NTFS 的替代資料流標記。
    .git::$INDEX_ALLOCATION 會直接寫入受害者的 .git 實體，繞過將 .git 視為目錄的檢查。git~ -- .git 的 NTFS 8.3 短檔名別名。僅有字面完全相符的 git1 被擋下；git2、git10、GIT1 等則全放行。設定上的錯誤更讓情況雪上加霜。core.protectNTFS 與 core.protectHFS 設定因讀取時使用了錯誤的選項名稱，導致使用者設定的值被靜默忽略，且 core.protectNTFS 僅在 Windows 上預設為 true（而 Git 上游自 CVE-2019-1353 起已在所有環境中將其預設為 true）。兩者都已更正。

    任何在 Windows 上使用 Dulwich 複製、擷取或檢出不可信儲存庫的使用者，無論是透過 Dulwich CLI、porcelain.clone，還是任何基於 Dulwich 開發的下游工具，都會受到影響。POSIX 上的複製操作無法直接被利用 (在 POSIX 環境中，\ 僅被視為字面上的檔名位元組)，但 POSIX 使用者可能會在不知情的情況下，透過推送或重新發布，將惡意樹狀結構散播給 Windows 使用者。(CVE-2026-42305)

    一種不受控制的資源消耗 (記憶體耗盡) 拒絕服務弱點 (CWE-400 / CWE-789)。

    擁有推送權限的用戶端可以推送一個經過精緻設計且極小的薄封包 (約 174 位元組)，其差異標頭宣告了巨大 dest_size。當 Dulwich 透過 add_thin_pack 或 apply_delta 吸收該封包時，會根據攻擊者所控制的大量數字配給數百百萬位元組的記憶體，而這與實際接收到的資料大小完全無關。

    受影響對象：運作基於 Dulwich 的 Git 伺服器且開放 git-receive-pack (即接受推送) 的維運人員，例如透過 dulwich.server 功能、HTTP 智慧伺服器，或任何基於 ReceivePackHandler 建構的服務。(CVE-2026-47734)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Fedora 44 ホストには、FEDORA-2026-fbd55e52fb のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    1.2.9、CVE 修正

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Dulwich は、Git ファイル形式とプロトコルの純粋な Python 実装です。0.10.0から1.2.5より前のバージョンでは、任意のファイルが書き込まれるため、Windowsで悪意のあるGitリポジトリを複製またはチェックアウトするときにリモートでコードが実行される可能性があります。Dulwich のパス要素のバリデーターは、ファイル名に Windows が構造パス構文と解釈するバイトを含むツリーエントリを受け入れていました。構成のバグが寄与することで、事態はさらに悪化しました。core.protectNTFS と core.protectHFS の設定が間違ったオプション名で検索されていたため、ユーザー設定値が無視され、core.protectNTFS は Windows でのみ true にデフォルト設定されました ( CVE-2019-1353以降、Git の Upstream はどこでもデフォルトで true になっています)。両方とも修正されました。Windows 上で Dulwich を使用して、信頼できないリポジトリをクローン、フェッチ、またはチェックアウトするユーザー (Dulwich CLI、porcelain.clone、または Dulwich を基盤とするダウンストリームツールのいずれを使用する場合でも) は、この問題の影響を受けます。POSIX クローンは直接悪用できませんが(POSIX \ はリテラルファイル名バイトです)、POSIX ユーザーが知らないうちに、プッシュまたは再公開を介して、悪意のあるツリーを Windows コンシューマーに広めることができます。この問題は Dulwich 1.2.5 で修正されています。ユーザーは、 1.2.5 以降にアップグレードする必要があります。有効なパッチ前の回避策はありません。影響を受けるバージョンでは、core.protectNTFS構成キーが警告なしに無視されていたため、trueに設定しても問題は軽減されません。アップグレードできないユーザーは、信頼できないリポジトリの複製、取得、または Windows 上の Dulwich のチェックアウトを避ける必要があります。アップグレード後、NTFS バリデーターはどのプラットフォームでもデフォルトでオンになるため、追加の構成は必要ありません。(CVE-2026-42305)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

したがって、ALAS2023-2026-2026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    1.1.0 までの Dulwich では、contrib/paramiko_vendor.py にホストキー SSH 検証がないことが見つかりました。
    (CVE-2026-38974)

    Windows で悪意のある Git リポジトリを複製またはチェックするときにリモートでコードが実行される、任意のファイル書き込み。

    Dulwich のパス要素のバリデーターは、ファイル名に Windows が構造化パス構文として解釈するバイトを含むツリーエントリを受け入れました。

    \ -- Windows のパスセパレーター。.git\hooks\pre-commit.exe という名前の単一のツリーエントリは、POSIX では 1 つの有効なファイル名として扱われていましたが、Windows ではネスト化されたディレクトリ .git/hooks/pre-commit.exe として具体化され、被害者の .git ディレクトリ内にファイルが配置されました。その後、Git for Windows は次の git コミットでそのフックを実行し、被害者のユーザーコンテキストで攻撃者に任意のコードを実行させます。同じプリミティブを ..\outside.txt と組み合わせることで、作業ツリーから脱出することも可能です。NTFS の代替データストリームマーカー。
    .git::$INDEX_ALLOCATION は、.git がディレクトリであるかどうかのチェックを迂回して、被害者の .git エンティティに直接書き込みを行います。git~ -- .git の NTFS 8.3 ショートネームエイリアス。文字通りの git1 だけが拒否され、git2、git10、GIT1 などはすべて受け入れられました。設定に関するバグが報告されたことで、事態はさらに悪化しました。core.protectNTFS と core.protectHFS の設定が間違ったオプション名で検索されていたため、ユーザー設定値が無視され、core.protectNTFS は Windows でのみ true にデフォルト設定されました ( CVE-2019-1353以降、Git の Upstream はどこでもデフォルトで true になっています)。両方とも修正されました。

    Windows 上で Dulwich を使用して、信頼できないリポジトリをクローン、フェッチ、またはチェックアウトするユーザー (Dulwich CLI、porcelain.clone、または Dulwich を基盤とするダウンストリームツールのいずれを使用する場合でも) は、この問題の影響を受けます。POSIX クローン自体は直接悪用されることはありません (POSIX では「\」はリテラルなファイル名バイト) が、POSIX ユーザーは、プッシュや再公開を通じて、知らず知らずのうちに悪意のあるツリーを Windows ユーザーに拡散させてしまう可能性があります。(CVE-2026-42305)

    制御されないリソース消費 (メモリの枯渇) によるサービス拒否の脆弱性 (CWE-400 / CWE-789)。

    プッシュアクセス権限を持つクライアントは、デルタヘッダーで巨大な dest_size を宣言した、細工されたごく小さなシンパック (~174 バイト) をプッシュすることが可能です。dulwich が add_thin_pack / apply_delta を介して取り込むと、実際に受信したバイトとは無関係に、攻撃者が制御するサイズに基づいて数百 MB のメモリが割り当てられます。

    影響を受ける対象: git-receive-pack を公開する (つまりプッシュを受け入れる) dulwich ベースの Git サーバーを実行しているオペレーター。たとえば、dulwich.server 機能、HTTP スマートサーバー、または ReceivePackHandler 上に構築されたシステムなどが挙げられます。(CVE-2026-47734)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2026 advisory.

    Dulwich through 1.1.0 was found to be missing SSH host key verification in contrib/paramiko_vendor.py.
    (CVE-2026-38974)

    Arbitrary file write leading to remote code execution when cloning or checking out a malicious Git     repository on Windows.

    Dulwich's path-element validator accepted tree entries whose filenames contained bytes that Windows     interprets as structural path syntax:

    \ -- the Windows path separator. A single tree entry named .git\hooks\pre-commit.exe was treated as one     valid filename on POSIX but materialized as nested directories .git/hooks/pre-commit.exe on Windows,     planting a file inside the victim's .git directory. Git for Windows thenexecutes that hook on the next git     commit, giving the attacker arbitrary code execution in the victim's user context. The same primitive can     be used with ..\outside.txt to escape the work tree.: -- the NTFS alternate-data-stream marker.
    .git::$INDEX_ALLOCATION writes directly into the victim's .git entity, bypassing the .git-as-a-directory     check.git~ -- NTFS 8.3 short-name aliases of .git. Only the literal git1 was rejected; git2, git10, GIT1,     etc. were all accepted.Contributing configuration bugs made matters worse. The core.protectNTFS and     core.protectHFS settings were looked up under a wrong option name and so user-set values were silently     ignored, and core.protectNTFS only defaulted to true on Windows (Git upstream has defaulted it to true     everywhere since CVE-2019-1353). Both have been corrected.

    Anyone who clones, fetches, or checks out an untrusted repository with Dulwich on Windows - either through     the Dulwich CLI, porcelain.clone, or any downstream tool built on Dulwich - is impacted. POSIX clones are     not directly exploitable (on POSIX \ is a literal filename byte), but a POSIX user can unknowingly     propagate a malicious tree to Windows consumers via push or re-publication. (CVE-2026-42305)

    An uncontrolled-resource-consumption (memory exhaustion) denial-of-service vulnerability (CWE-400 /     CWE-789).

    A client with push access could push a tiny crafted thin pack (~174 bytes) whose delta header declares a     huge dest_size. When dulwich ingested it via add_thin_pack / apply_delta, it would allocate hundreds of MB     of memory based on that attacker-controlled size, with no relationship to the actual bytes received.

    Who is impacted: Operators running a dulwich-based Git server that exposes git-receive-pack (i.e. accepts     pushes) -for example via dulwich.server functionality, the HTTP smart server, or anything built on     ReceivePackHandler. (CVE-2026-47734)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-fbd55e52fb advisory.

    1.2.9, CVE fixes

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Dulwich is a pure-Python implementation of the Git file formats and protocols. Versions starting with     0.10.0 and prior to 1.2.5 have an arbitrary file write leading to remote code execution when cloning or     checking out a malicious Git repository on Windows. Dulwich's path-element validator accepted tree entries     whose filenames contained bytes that Windows interprets as structural path syntax. Contributing     configuration bugs made matters worse. The core.protectNTFS and core.protectHFS settings were looked up     under a wrong option name and so user-set values were silently ignored, and core.protectNTFS only     defaulted to true on Windows (Git upstream has defaulted it to true everywhere since CVE-2019-1353). Both     have been corrected. Anyone who clones, fetches, or checks out an untrusted repository with Dulwich on     Windows - either through the Dulwich CLI, porcelain.clone, or any downstream tool built on Dulwich - is     impacted. POSIX clones are not directly exploitable (on POSIX \ is a literal filename byte), but a POSIX     user can unknowingly propagate a malicious tree to Windows consumers via push or re-publication. This     issue is fixed in Dulwich 1.2.5. Users should upgrade to 1.2.5 or later. There is no effective pre-patch     workaround. On affected versions the core.protectNTFS configuration key was silently ignored, so setting     it to true does not mitigate the issue. Users who cannot upgrade should avoid cloning, fetching, or     checking out untrusted repositories with Dulwich on Windows. After upgrading the NTFS validator is on by     default on every platform, so no additional configuration is required. (CVE-2026-42305)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
458749	Echo: dulwich: security update to 1.2.5	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	high
458749	Echo: dulwich: security update to 1.2.5	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	high
442450	SCA: security update for dulwich (GHSA-897w-fcg9-f6xj)	Tenable Cloud Security	SCA Checks	2026/5/29	2026/8/12	high
442450	SCA: security update for dulwich (GHSA-897w-fcg9-f6xj)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/29	2026/8/12	high
317714	Linux Distros 未修补的漏洞：CVE-2026-42305	Nessus	Misc.	2026/5/29	2026/9/29	high
332007	Amazon Linux 2023：python3-dulwich (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high
317714	Linux Distros 未修補弱點：CVE-2026-42305	Nessus	Misc.	2026/5/29	2026/9/29	high
332007	Amazon Linux 2023：python3-idna (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high
326391	Fedora 44 : python-dulwich (2026-fbd55e52fb)	Nessus	Fedora Local Security Checks	2026/7/12	2026/7/12	high
317714	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42305	Nessus	Misc.	2026/5/29	2026/9/29	high
332007	Amazon Linux 2023 : python3-dulwich (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high
332007	Amazon Linux 2023 : python3-dulwich (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high
326391	Fedora 44 : python-dulwich (2026-fbd55e52fb)	Nessus	Fedora Local Security Checks	2026/7/12	2026/7/12	high
317714	Linux Distros Unpatched Vulnerability : CVE-2026-42305	Nessus	Misc.	2026/5/29	2026/9/29	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high