There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - sigstore-java is a sigstore java client for interacting with sigstore infrastructure. Version 2.0.0
    erroneously removed verification of the integrated (Rekor entry) time) against the Fulcio certificate.
    Version 2.1.0 re-added this verification with enhancements that adhere to the Sigstore verification spec.
    The old sigstore-conformance test for this check was built incorrectly. This vulnerability impacts only
    users verifying bundles with `dev.sigstore:sigstore-java:2.0.0`. Older versions are not affected; it is
    fixed in `dev.sigstore:sigstore-java:2.1.0` A malicious actor may exploit this if they were able to access
    a users system and exfiltrate the temporary private key used during signing and then reuse an old fulcio
    certificate later without requiring direct access to the user's credentials. Users may protect themselves
    by re-verifying their artifacts using the newest sigstore-java or another current sigstore client.
    Transparency logs may also be audited for unauthorized signatures for a suspected reused identity.
    (CVE-2026-48791)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - sigstore-java 是用於與 sigstore 基礎架構互動的 sigstore java 用戶端。版本 2.0.0 錯誤地刪除了對 Fulcio 憑證的整合（Rekor 條目）時間的驗證。
    版本重新 2.1.0 新增了此驗證，並具有符合 Sigstore 驗證規格的增強功能。
    此檢查的舊 sigstore-conformance 測試建置不正確。此弱點僅影響使用「dev.sigstore：sigstore-java：2.0.0」驗證套件組合的使用者。舊版本不受影響;已在「dev.sigstore：sigstore-java：2.1.0」中修正：如果惡意執行者能夠存取使用者系統並洩露簽署期間使用的臨時私密金鑰，然後稍後重複使用舊的 Fulcio 憑證，而不需要直接存取使用者的憑證，則他們可能會利用此漏洞。使用者可以使用最新的 sigstore-java 或其他目前的 sigstore 用戶端重新驗證其成品，以保護自己。
    透明度記錄也可能會針對可疑重複使用的身分進行未經授權的簽章進行稽核。
    (CVE-2026-48791)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - sigstore-java 是用于与 sigstore 基础架构交互的 sigstore Java 客户端。版本 2.0.0 错误地删除了针对 Fulcio 证书的集成（Rekor 输入）时间验证。
    该版本 2.1.0 通过符合 Sigstore 验证规范的增强重新添加了此验证。
    针对此检查的旧 sigstore-conformance 测试构建错误。此漏洞仅影响验证“dev.sigstore：sigstore-java：2.0.0”捆绑的用户。旧版本不受影响;已在“dev.sigstore：sigstore-java：2.1.0”中修复此问题 如果恶意执行者能够访问用户系统并泄露签名期间使用的临时私钥，然后在不直接访问用户凭据的情况下重复使用旧的 fulcio 证书，则他们可利用此问题。用户可使用最新的 sigstore-java 或其他当前 sigstore 客户端重新验证其构件以保护自己。
    还可以审计透明度日志中是否存在未经授权的签名，以查找怀疑重复使用的身份。
    (CVE-2026-48791)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - sigstore-java は、sigstore インフラストラクチャと相互作用するための sigstore java クライアントです。バージョン 2.0.0 は、Fulcio 証明書に対する統合(Rekor エントリ)時間の検証を誤って削除していました。
    バージョン 2.1.0 では、この検証を再追加し、Sigstore 検証仕様に準拠する機能強化を行いました。
    このチェック用の古い sigstore-conformance テストが、正しく構築されていませんでした。この脆弱性は、「dev.sigstore:sigstore-java:2.0.0」でバンドルを検証しているユーザーにのみ影響します。古いバージョンは影響を受けません。これは、「dev.sigstore:sigstore-java:2.1.0」で修正されています。ユーザーのシステムにアクセスして、署名中に使用される一時的な秘密鍵を盗み出し、その後、ユーザーの認証情報に直接アクセスせずに古い Fulcio 証明書を再利用できた場合、悪意のある攻撃者がこれを悪用する可能性があります。ユーザーは、最新の sigstore-java または現在の別の sigstore クライアントを使用してアーティファクトを再検証することで、自分自身を保護できます。
    透明性ログは、再利用されたと疑われるアイデンティティの不正な署名がないか監査される場合もあります。
    (CVE-2026-48791)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - sigstore-java is a sigstore java client for interacting with sigstore infrastructure. Version 2.0.0     erroneously removed verification of the integrated (Rekor entry) time) against the Fulcio certificate.
    Version 2.1.0 re-added this verification with enhancements that adhere to the Sigstore verification spec.
    The old sigstore-conformance test for this check was built incorrectly. This vulnerability impacts only     users verifying bundles with `dev.sigstore:sigstore-java:2.0.0`. Older versions are not affected; it is     fixed in `dev.sigstore:sigstore-java:2.1.0` A malicious actor may exploit this if they were able to access     a users system and exfiltrate the temporary private key used during signing and then reuse an old fulcio     certificate later without requiring direct access to the user's credentials. Users may protect themselves     by re-verifying their artifacts using the newest sigstore-java or another current sigstore client.
    Transparency logs may also be audited for unauthorized signatures for a suspected reused identity.
    (CVE-2026-48791)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
444146	SCA: security update for dev.sigstore:sigstore-java (GHSA-qqw8-7c2r-jxch)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/30	2026/8/14	low
444146	SCA: security update for dev.sigstore:sigstore-java (GHSA-qqw8-7c2r-jxch)	Tenable Cloud Security	SCA Checks	2026/6/30	2026/8/14	low
335296	Linux Distros 未修補弱點：CVE-2026-48791	Nessus	Misc.	2026/8/13	2026/8/17	low
335296	Linux Distros 未修补的漏洞：CVE-2026-48791	Nessus	Misc.	2026/8/13	2026/8/17	low
335296	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48791	Nessus	Misc.	2026/8/13	2026/8/17	low
335296	Linux Distros Unpatched Vulnerability : CVE-2026-48791	Nessus	Misc.	2026/8/13	2026/8/17	low

偵測

搜尋 Plugin

low

low

low

low

low

low