The remote Fedora 40 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-b11026f492 advisory.

    New upstream release 1.9.1, fixes CVE-2024-22034

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Fedora 40 ホストには、FEDORA-2024-b11026f492 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    新しい Upstream リリース 1.9.1 では、CVE-2024-22034 を修正しています

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2961-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - 1.9.0
      - セキュリティ：
        - .osc の特別なファイルを上書きする可能性を修正 (CVE-2024-22034 bsc#1225911) ソースファイルは現在、名前の衝突を防ぐ「sources」サブディレクトリに保存されています。そのため、「.osc」ストアのバージョンを 2.0 に変更する必要があります。
      - コマンドライン:
        - ビルド --checks パラメーターを導入
      - ライブラリ:
        - OscConfigParser: 自動の __name__ オプションを削除

    - 1.8.3
      - コマンドライン:
        -「repairwc」コマンドを変更して、常にすべての修復ステップを実行する
      - ライブラリ:
        - KeyinfoPubkey および KeyinfoSslcert モデルのほとんどのフィールドをオプションにする
        - colorize() を修正し、空の文字列がカラーエスケープシーケンスにラップされるのを回避する
        - get_results() 関数の kwargs.get/pop にデフォルト値を提供する

    - 1.8.2
      - ライブラリ:
        -「repairwc」コマンドを変更し、欠落している .osc/_osclib_version を修正する
        - check_store_version() のエラーメッセージをより一般的なものにし、プロジェクトとパッケージの両方で動作するようにする
        - プロジェクトストアの check_store_version を修正する

    - 1.8.1
      - コマンドライン:
        -「--disable-build」または「--disable-publish」オプションと共に使用した際の「linkpac」コマンドのクラッシュを修正する

    - 1.8.0
      - コマンドライン:
        -「submitrequest」コマンドを改善し、置き換えられたリクエストから説明を継承
        - ファイルの名前を複数回変更する場合の「mv」コマンドを修正
        - プロジェクトをサポートするために「info」コマンドを改善
        - チェックアウト外の「-M」/「--multibuild-package」オプションを受け入れることで、「getbinaries」コマンドを改善
        -「release」コマンドにアーキテクチャフィルタリングを追加
        -「results」コマンドを変更し、normal パッケージと multibuild パッケージの出力が同じになるようにする
        -「results」コマンドを変更し、csv を文字列としてフォーマットする代わりに csv ライターを使用
        -「results」コマンドに相互排他的なオプションの結合エラーを追加
        - csv 出力に対してのみ「results --format」のデフォルト値を設定
        - デフォルトのテキストモード用の「results --format」のサポートを追加
        -「results」コマンドの「--format」オプションのヘルプテキストを更新
        -「results --fail-on-error/-F」フラグを追加
        - stderr からの venv 警告をデバッグ出力にリダイレクトします
      - 構成: 
        - 重複するセクションまたはオプションで例外をスローするように構成パーサーを修正
        - conf.get_config() を変更して、アクセス許可の警告を stdout ではなく stderr に出力するようにする
      - ライブラリ:
        - obs_scm.Store で check_store_version() を実行し、プロジェクトおよびパッケージでの関連コードを修正
        -「cpio」アーカイブからの絶対パスでファイルを抽出することを禁止 (bsc#1122683)
        -「ar」アーカイブからの絶対パスでファイルを抽出することを禁止 (bsc#1122683)
        - core.unpack_srcrpm() から有効でなくなった警告を削除
        - obs_api.KeyinfoSslcert のキー ID および指紋フィールドをオプションにする
        - ビルド build.create_build_descr_data() の戻り値を修正
        -「multibuild_packages」引数に従うように core.get_package_results() を修正
      - テスト:
        - フィクスチャを変更しないようにテストを修正

    - 1.7.0
      - コマンドライン:
        -「person search」コマンドを追加
        -「person register」コマンドを追加
        -「-M/--multibuild-package」オプションを「[what]dependson」コマンドに追加
        -「maintainer」コマンドの「-U/--user」オプションを更新し、メールアドレスも受け入れるようにする
        -「branch」コマンドを修正し、存在しないパッケージで「--new-package」オプションを使用できるようにする
        -「buildinfo」コマンドを修正して、デフォルトで obs:cli_debug_packages を含める
        -「buildinfo」コマンドが完全なローカルビルド環境を送信するように「buildinfo」コマンドを修正しました。「build」コマンドが送信するようにする
        - 引数なしで作業コピー外で実行する場合にエラーが発生するように「maintainer --devel-project」を修正しま
        -「service remoterun prj/pac」の引数処理を修正
        -「rebuild」コマンドを修正し、「--all」オプションが「package」引数と競合するようにする
        -「linkpac」コマンドで dst パッケージメタから「scmsync」要素を削除する際のクラッシュを修正
        -「linkpac」コマンドで dst パッケージメタを読み込む際のクラッシュを修正
        -「osc rpmlint」が CWD から prj/pkg を推論できるようにする
        - run() および do_() コマンドラインメソッドから終了コードを伝播
        - scmsync git がホストされているヒントを提供
        - 不完全な仕様で作業する際の「updatepacmetafromspec」コマンドでのクラッシュを修正
        - rpmspec を呼び出してデータをクエリすることにより、rpm spec マクロを拡張するために「updatepacmetafromspec」コマンドを改善
        - BuildRequires を解析するために *.inc ファイルを OBS にアップロードすることにより、「build」および「buildinfo」コマンドを改善 (bsc#1221340)
        - 実行中のサービスの名前を印刷することで「service」コマンドを改善
        - バイナリ名が指定されている場合に、ソースおよび debuginfo フィルターを無視することで「getbinaries」コマンドを改善
        -「build_jobs」が > 0 の場合にのみ、「--jobs」オプションを「build」ツールに渡すように「build」コマンドを変更
        -「list」コマンドのヘルプを説明し、バイナリのリストには md5 チェックサムが含まれないことを明記
        -「log」コマンドを改善: 適切な CSV および XML 出力を生成し、テキスト出力に対して -p/--patch オプションを追加
        - setlinkrev が特定の vrev を設定できるようにする
        -「build」コマンドのヘルプで「--buildtool-opt=--noclean」の例を文書化
        - コマンドラインのデフォルトパッケージ引数の処理を修正
      - 構成: 
        - env 変数から設定を読み込むドキュメント
      - 接続:
        - エラー 400 で再試行しない
        - 現在は使用されていない「retry_on_400」http_request() オプションを XmlModel から削除
        -「core.server_diff() の 400 HTTP ステータスコードで再試行しない」を元に戻す
        -「接続: 400 HTTP ステータスコードで再試行を無効にすることを許可」を元に戻す
      - 認証:
        - SignatureAuthHandler を更新して、フィンガープリントによる ssh 鍵の指定をサポート
        - コメント「obs=<apiurl-hostname>」を含む ssh エージェントからの ssh キーを使用
        - SignatureAuthHandler のバイトの代わりに文字列を使用
        - SecretService からのパスワードをキャッシュして、承諾ダイアログによるユーザーのスパム行為を回避
        - ヘルプを表示する際に認証情報を求めない
        - 未使用の SignatureAuthHandler.get_fingerprint() を削除
      - ライブラリ:
        -「qemu」VM タイプに対するルートのないビルドのサポートを追加
        - scmsync プロジェクトからのパッケージのパッケージリンクをサポート
        - リクエスト ID の代わりに None を返すように do_createrequest() 関数を修正
        - BaseModel.dict() で、無効な「if」を「elif」に置き換え
        - 優先パッケージが定義されていない場合のクラッシュを修正
        - XML による操作をカプセル化する XmlModel クラスを追加
        - 新規ユーザーを登録するために obs_api.Person.cmd_register() を追加
        - oscrc perms を比較する際にファイルタイプビットを無視するために conf.get_config() を修正
        - conf.get_config() を修正し、環境変数が設定されている場合にオーバーライドを正しく処理
        - os.isatty() が OSError をスローする際の output.tty.IS_INTERACTIVE を修正
        - 改行文字に従うように cmdln.HelpFormatter を改善
        -「output.tty」モジュールのカラーコードのリストを更新
        - core.set_devel_project() のために core.setDevelProject() を削除
        - 削除する制御文字を output.sanitize_text() に移動
        - sanitize_text() を改善して、選択された CSI エスケープシーケンスを維持
        - 中間一時ファイルを作成せずにラインをページャーにパイプする output.pipe_to_pager() を追加
        - NamedTemporaryFile に関連する output.safe_write() を修正
        - output.run_pager() を最新化
        - output.print_msg() を拡張し、「to_print」引数の「error」および「warning」値を受け入れる
        - キーワード引数を xpath クエリに変換するために、XPathQuery クラスを追加
        - obs_api.Keyinfo クラスを追加
        - obs_api.Package クラスを追加
        - コミットログをリストするために Package.get_revision_list() を追加
        - OBS SCM ソースを処理するために obs_api.PackageSources クラスを追加
        - obs_api.Person クラスを追加
        - obs_api.Project クラスを追加
        - obs_api.Request クラスを追加
        - obs_api.Token クラスを追加
        - XmlModel インスタンスに apiurl を保存できるようにする
        - トップレベルのモデルからデフォルトのフィールド値を取得できるようにする
        - BaseModel を修正して、モデルリストの取得時に辞書をオブジェクトに変換
        - 初回使用時に常に変更可能なデフォルトを deepcopy するように BaseModel を修正
        - do_snapshot() および has_changed() メソッドを実装して、BaseModel の変更を判断
        - BaseModel の全順序付けを実装
        - 編集済みの XML に、利用可能な属性/要素のコメントを追加
      - リファクタリング:
        - repo の {list,add,remove} コマンドを obs_api.Project に移行
        - core.show_package_disabled_repos() を obs_api.Package に移行
        - core.Package.update_package_meta() を obs_api.Package に移行
        - core.get_repos_of_project() を obs_api.Project に移行
        - core.get_repositories_of_project() を obs_api.Project に移行
        - core.show_scmsync() を obs_api.{Package,Project} に移行
        - core.set_devel_project() を obs_api.Package に移行
        - core.show_devel_project() を obs_api.Package に移行
        - Fetcher.run() を obs_api.Keyinfo に移行
        - core.create_submit_request() を obs_api.Request に移行
        -「token」コマンドを obs_api.Token に移行
        -「whois/user」コマンドを obs_api.Person に移行
        -「signkey」コマンドを obs_api.Keyinfo に移行
        - print_msg() を「osc.output」モジュールに移動
        - run_pager() および get_default_pager() を「core」から「output」モジュールに移動
        - core.Package を obs_scm.Package に移動
        - core.Project を obs_scm.Project に移動
        - store を操作する関数をコアから obs_scm.store へ移動
        - store.Store を obs_scm.Store に移動
        - core.Linkinfo を obs_scm.Linkinfo に移動
        - core.Serviceinfo を obs_scm.Serviceinfo に移動
        - core.File を obs_scm.File に移動
        - _private.project.ProjectMeta を obs_api.Project にマージ
      - 仕様:
        - %python3_fix_shebang マクロを使用して、/usr/bin/python3 の依存関係を削除 (bsc#1212476)

    - 1.6.2
      - コマンドライン:
        -「branch」コマンドを修正し、存在しないパッケージで「--new-package」オプションを使用できるようにする
        -「buildinfo」コマンドを修正して、デフォルトで obs:cli_debug_packages を含める
        -「buildinfo」コマンドが完全なローカルビルド環境を送信するように「buildinfo」コマンドを修正しました。「build」コマンドが送信するようにする
        -「osc rpmlint」が CWD から prj/pkg を推論できるようにする
        - run() および do_() コマンドラインメソッドから終了コードを伝播
        - scmsync git がホストされているヒントを提供
        - 不完全な仕様で作業する際の「updatepacmetafromspec」コマンドでのクラッシュを修正
      - 認証:
        - SecretService からのパスワードをキャッシュして、承諾ダイアログによるユーザーのスパム行為を回避
        - ヘルプを表示する際に認証情報を求めない
      - ライブラリ:
        - scmsync プロジェクトからのパッケージのパッケージリンクをサポート
        - リクエスト ID の代わりに None を返すように do_createrequest() 関数を修正
        - BaseModel.dict() で、無効な「if」を「elif」に置き換え
        - 優先パッケージが定義されていない場合のクラッシュを修正

    - 1.6.1
      - コマンドライン:
        - 完了に busybox と互換性のあるコマンドを使用
        - 新しい get_user_input() 関数を使用するように「wipe」コマンドを変更
        -「meta attribute <prj>」実行時のエラー 500 を修正
      - 構成: 
        - 実際の構成ファイルへの構成シンボリックリンクの解決を修正
        - XDG_CONFIG_HOME および XDG_CACHE_HOME 環境変数を遵守
        - XDG_CONFIG_HOME および ~/.oscrc が存在する場合に ~/.config/osc/oscrc を無視することについて警告
      - ライブラリ:
        - scmsync パッケージをブランチングする際のエラー
        - ユーザー入力の一貫した処理のための新しい get_user_input() 関数
        - xml_indent、xml_quote、xml_unquote を osc.util.xml モジュールに移動
        - makeurl() をリファクタリングし、文字列またはリスト引数を取るクエリを廃止し、osc_urlencode() をドロップ
        - すべてのパスの引用を削除 (makeurl() に依存)
        - makeurl() で常に dict クエリを使用
        - core.slash_split() を修正し、先頭と末尾のスラッシュの両方を削除

    - 1.6.0
      - コマンドライン:
        -「token --trigger」コマンドは、デフォルトで「--operation=runservice」を設定しなくなった。
        -「token --create」コマンドを、「--operation」必須コマンドに変更
        -「linkdiff」コマンドエラー 400 を修正: prj/pac/md5 がリポジトリにない
        -「build」コマンドを更新し、updateinfo.xml データを使用して「productcompose」ビルドタイプのビルドをサポート
        - インタラクティブでないターミナルでメーターを表示しない
        - ブランチをプロジェクトにマッピングすることに失敗する任意の git リポジトリから osc を実行するときのトレースバックを修正 (bsc#1218170)
      - 構成: 
        - 環境変数からの認証情報の読み取りを実装
        - --configfile が空であるか、/dev/null を指している場合、空の構成で開始することを許可
        -「quiet」設定オプションを実装
        - パスワードを空の文字列にできる (通常、ssh 認証で使用)
      - 接続:
        - osc api リクエストでも -X HEAD を許可
      - ライブラリ:
        - 認証情報マネージャーが一貫してパスワードを返すように修正
        - python の Password.encode() を修正 3.8
        -「meter」モジュールをリファクタリングし、構成設定を使用して適切なクラスを選択
        - using f-strings に変換
        - Field.get_callback を使用して quiet/verbose および http_debug/http_full_debug オプションを処理
        - Field クラスへの戻り値の変更を可能にする get_callback を実装
        - List[BaseModel] タイプのサポートを Field クラスに追加
        - BaseModel オブジェクトのインスタンス化中にエラーを報告する際にクラス名を報告
        - BaseModel.dict() での空のモデルフィールドのエクスポートを修正
        - 辞書からのサブモデルインスタンスの初期化を修正
        - モデルで「Enum」サポートを実装
        - Optional タイプの Field.origin_type を修正
        - BaseModel.dict() メソッドから未使用の「exclude_unset」引数をドロップ
        - キャッシュされたモデルデフォルトを self._defaults に保存し、変更可能なデフォルトへの参照の共有を回避
        - その場で新しい属性を作成することを禁止することで、モデル属性を事前定義されたフィールドに制限
        - プライベート属性の代わりに、self._values dict にモデル値を保存
      - 仕様:
        - ssh 認証中に必要な ssh-add に対して openssh-clients を推奨
        - usptreamed されなかった 0%{?amzn} マクロを追加

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:2963-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    0.183.0
      - .osc の特別なファイルを上書きする可能性を修正 (CVE-2024-22034 bsc#1225911) ソースファイルは現在、名前の衝突を防ぐ「sources」サブディレクトリに保存されています。そのため、「.osc」ストアのバージョンを 2.0 に変更する必要があります。
      - core.py のエラーを伴う二重引用符を修正

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 攻击者可能将 .osc 中的特殊文件放入实际的程序包源中（例如 _apiurl）。这允许攻击者更改受害者的 osc 配置(CVE-2024-22034)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote Fedora 39 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-18d9a6ba14 advisory.

    New upstream release 1.9.1, fixes CVE-2024-22034

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Attackers could put the special files in .osc into the actual package sources (e.g. _apiurl). This allows     the attacker to change the configuration of osc for the victim (CVE-2024-22034)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2024:2961-1 advisory.

    - 1.9.0
      - Security:
        - Fix possibility to overwrite special files in .osc (CVE-2024-22034 bsc#1225911)           Source files are now stored in the 'sources' subdirectory which prevents           name collisons. This requires changing version of '.osc' store to 2.0.
      - Command-line:
        - Introduce build --checks parameter
      - Library:
        - OscConfigParser: Remove automatic __name__ option

    - 1.8.3
      - Command-line:
        - Change 'repairwc' command to always run all repair steps
      - Library:
        - Make most of the fields in KeyinfoPubkey and KeyinfoSslcert models optional
        - Fix colorize() to avoid wrapping empty string into color escape sequences
        - Provide default values for kwargs.get/pop in get_results() function

    - 1.8.2
      - Library:
        - Change 'repairwc' command to fix missing .osc/_osclib_version
        - Make error message in check_store_version() more generic to work for both projects and packages
        - Fix check_store_version in project store

    - 1.8.1
      - Command-line:
        - Fix 'linkpac' command crash when used with '--disable-build' or '--disable-publish' option

    - 1.8.0
      - Command-line:
        - Improve 'submitrequest' command to inherit description from superseded request
        - Fix 'mv' command when renaming a file multiple times
        - Improve 'info' command to support projects
        - Improve 'getbinaries' command by accepting '-M' / '--multibuild-package' option outside checkouts
        - Add architecture filtering to 'release' command
        - Change 'results' command so the normal and multibuild packages have the same output
        - Change 'results' command to use csv writer instead of formatting csv as string
        - Add couple mutually exclusive options errors to 'results' command
        - Set a default value for 'results --format' only for the csv output
        - Add support for 'results --format' for the default text mode
        - Update help text for '--format' option in 'results' command
        - Add 'results --fail-on-error/-F' flag
        - Redirect venv warnings from stderr to debug output
      - Configuration:
        - Fix config parser to throw an exception on duplicate sections or options
        - Modify conf.get_config() to print permissions warning to stderr rather than stdout
      - Library:
        - Run check_store_version() in obs_scm.Store and fix related code in Project and Package
        - Forbid extracting files with absolute path from 'cpio' archives (bsc#1122683)
        - Forbid extracting files with absolute path from 'ar' archives (bsc#1122683)
        - Remove no longer valid warning from core.unpack_srcrpm()
        - Make obs_api.KeyinfoSslcert keyid and fingerprint fields optional
        - Fix return value in build build.create_build_descr_data()
        - Fix core.get_package_results() to obey 'multibuild_packages' argument
      - Tests:
        - Fix tests so they don't modify fixtures

    - 1.7.0
      - Command-line:
        - Add 'person search' command
        - Add 'person register' command
        - Add '-M/--multibuild-package' option to '[what]dependson' commands
        - Update '-U/--user' option in 'maintainer' command to accept also an email address
        - Fix 'branch' command to allow using '--new-package' option on packages that do not exist
        - Fix 'buildinfo' command to include obs:cli_debug_packages by default
        - Fix 'buildinfo' command to send complete local build environment as the 'build' command does
        - Fix 'maintainer --devel-project' to raise an error if running outside a working copy without any     arguments
        - Fix handling arguments in 'service remoterun prj/pac'
        - Fix 'rebuild' command so the '--all' option conflicts with the 'package' argument
        - Fix crash when removing 'scmsync' element from dst package meta in 'linkpac' command
        - Fix crash when reading dst package meta in 'linkpac' command
        - Allow `osc rpmlint` to infer prj/pkg from CWD
        - Propagate exit code from the run() and do_() commandline methods
        - Give a hint where a scmsync git is hosted
        - Fix crash in 'updatepacmetafromspec' command when working with an incomplete spec
        - Improve 'updatepacmetafromspec' command to expand rpm spec macros by calling rpmspec to query the     data
        - Improve 'build' and 'buildinfo' commands by uploading *.inc files to OBS for parsing BuildRequires     (bsc#1221340)
        - Improve 'service' command by printing names of running services
        - Improve 'getbinaries' command by ignoring source and debuginfo filters when a binary name is     specified
        - Change 'build' command to pass '--jobs' option to 'build' tool only if 'build_jobs' > 0
        - Clarify 'list' command's help that that listing binaries doesn't contain md5 checksums
        - Improve 'log' command: produce proper CSV and XML outputs, add -p/--patch option for the text output
        - Allow setlinkrev to set a specific vrev
        - Document '--buildtool-opt=--noclean' example in 'build' command's help
        - Fix handling the default package argument on the command-line
      - Configuration:
        - Document loading configuration from env variables
      - Connection:
        - Don't retry on error 400
        - Remove now unused 'retry_on_400' http_request() option from XmlModel
        - Revert 'Don't retry on 400 HTTP status code in core.server_diff()'
        - Revert 'connection: Allow disabling retry on 400 HTTP status code'
      - Authentication:
        - Update SignatureAuthHandler to support specifying ssh key by its fingerprint
        - Use ssh key from ssh agent that contains comment 'obs=<apiurl-hostname>'
        - Use strings instead of bytes in SignatureAuthHandler
        - Cache password from SecretService to avoid spamming user with an accept dialog
        - Never ask for credentials when displaying help
        - Remove unused SignatureAuthHandler.get_fingerprint()
      - Library:
        - Add rootless build support for 'qemu' VM type
        - Support package linking of packages from scmsync projects
        - Fix do_createrequest() function to return None instead of request id
        - Replace invalid 'if' with 'elif' in BaseModel.dict()
        - Fix crash when no prefered packages are defined
        - Add XmlModel class that encapsulates manipulation with XML
        - Add obs_api.Person.cmd_register() for registering new users
        - Fix conf.get_config() to ignore file type bits when comparing oscrc perms
        - Fix conf.get_config() to correctly handle overrides when env variables are set
        - Fix output.tty.IS_INTERACTIVE when os.isatty() throws OSError
        - Improve cmdln.HelpFormatter to obey newline characters
        - Update list of color codes in 'output.tty' module
        - Remove core.setDevelProject() in favor of core.set_devel_project()
        - Move removing control characters to output.sanitize_text()
        - Improve sanitize_text() to keep selected CSI escape sequences
        - Add output.pipe_to_pager() that pipes lines to a pager without creating an intermediate temporary     file
        - Fix output.safe_write() in connection with NamedTemporaryFile
        - Modernize output.run_pager()
        - Extend output.print_msg() to accept 'error' and 'warning' values of 'to_print' argument
        - Add XPathQuery class for translating keyword arguments to an xpath query
        - Add obs_api.Keyinfo class
        - Add obs_api.Package class
        - Add Package.get_revision_list() for listing commit log
        - Add obs_api.PackageSources class for handling OBS SCM sources
        - Add obs_api.Person class
        - Add obs_api.Project class
        - Add obs_api.Request class
        - Add obs_api.Token class
        - Allow storing apiurl in the XmlModel instances
        - Allow retrieving default field value from top-level model
        - Fix BaseModel to convert dictionaries to objects on retrieving a model list
        - Fix BaseModel to always deepcopy mutable defaults on first use
        - Implement do_snapshot() and has_changed() methods to determine changes in BaseModel
        - Implement total ordering on BaseModel
        - Add comments with available attributes/elements to edited XML
      - Refactoring:
        - Migrate repo {list,add,remove} commands to obs_api.Project
        - Migrate core.show_package_disabled_repos() to obs_api.Package
        - Migrate core.Package.update_package_meta() to obs_api.Package
        - Migrate core.get_repos_of_project() to obs_api.Project
        - Migrate core.get_repositories_of_project() to obs_api.Project
        - Migrate core.show_scmsync() to obs_api.{Package,Project}
        - Migrate core.set_devel_project() to obs_api.Package
        - Migrate core.show_devel_project() to obs_api.Package
        - Migrate Fetcher.run() to obs_api.Keyinfo
        - Migrate core.create_submit_request() to obs_api.Request
        - Migrate 'token' command to obs_api.Token
        - Migrate 'whois/user' command to obs_api.Person
        - Migrate 'signkey' command to obs_api.Keyinfo
        - Move print_msg() to the 'osc.output' module
        - Move run_pager() and get_default_pager() from 'core' to 'output' module
        - Move core.Package to obs_scm.Package
        - Move core.Project to obs_scm.Project
        - Move functions manipulating store from core to obs_scm.store
        - Move store.Store to obs_scm.Store
        - Move core.Linkinfo to obs_scm.Linkinfo
        - Move core.Serviceinfo to obs_scm.Serviceinfo
        - Move core.File to obs_scm.File
        - Merge _private.project.ProjectMeta into obs_api.Project
      - Spec:
        - Remove dependency on /usr/bin/python3 using %python3_fix_shebang macro (bsc#1212476)

    - 1.6.2
      - Command-line:
        - Fix 'branch' command to allow using '--new-package' option on packages that do not exist
        - Fix 'buildinfo' command to include obs:cli_debug_packages by default
        - Fix 'buildinfo' command to send complete local build environment as the 'build' command does
        - Allow `osc rpmlint` to infer prj/pkg from CWD
        - Propagate exit code from the run() and do_() commandline methods
        - Give a hint where a scmsync git is hosted
        - Fix crash in 'updatepacmetafromspec' command when working with an incomplete spec
      - Authentication:
        - Cache password from SecretService to avoid spamming user with an accept dialog
        - Never ask for credentials when displaying help
      - Library:
        - Support package linking of packages from scmsync projects
        - Fix do_createrequest() function to return None instead of request id
        - Replace invalid 'if' with 'elif' in BaseModel.dict()
        - Fix crash when no prefered packages are defined

    - 1.6.1
      - Command-line:
        - Use busybox compatible commands for completion
        - Change 'wipe' command to use the new get_user_input() function
        - Fix error 500 in running 'meta attribute <prj>'
      - Configuration:
        - Fix resolving config symlink to the actual config file
        - Honor XDG_CONFIG_HOME and XDG_CACHE_HOME env vars
        - Warn about ignoring XDG_CONFIG_HOME and ~/.config/osc/oscrc if ~/.oscrc exists
      - Library:
        - Error out when branching a scmsync package
        - New get_user_input() function for consistent handling of user input
        - Move xml_indent, xml_quote and xml_unquote to osc.util.xml module
        - Refactor makeurl(), deprecate query taking string or list arguments, drop osc_urlencode()
        - Remove all path quoting, rely on makeurl()
        - Always use dict query in makeurl()
        - Fix core.slash_split() to strip both leading and trailing slashes

    - 1.6.0
      - Command-line:
        - The 'token --trigger' command no longer sets '--operation=runservice' by default.
        - Change 'token --create' command to require '--operation'
        - Fix 'linkdiff' command error 400: prj/pac/md5 not in repository
        - Update 'build' command to support building 'productcompose' build type with updateinfo.xml data
        - Don't show meter in terminals that are not interactive
        - Fix traceback when running osc from an arbitrary git repo that fails to map branch to a project     (bsc#1218170)
      - Configuration:
        - Implement reading credentials from environmental variables
        - Allow starting with an empty config if --configfile is either empty or points to /dev/null
        - Implement 'quiet' conf option
        - Password can be an empty string (commonly used with ssh auth)
      - Connection:
        - Allow -X HEAD on osc api requests as well
      - Library:
        - Fix credentials managers to consistently return Password
        - Fix Password.encode() on python < 3.8
        - Refactor 'meter' module, use config settings to pick the right class
        - Convert to using f-strings
        - Use Field.get_callback to handle quiet/verbose and http_debug/http_full_debug options
        - Implement get_callback that allows modifying returned value to the Field class
        - Add support for List[BaseModel] type to Field class
        - Report class name when reporting an error during instantiating BaseModel object
        - Fix exporting an empty model field in  BaseModel.dict()
        - Fix initializing a sub-model instance from a dictionary
        - Implement 'Enum' support in models
        - Fix Field.origin_type for Optional types
        - Drop unused 'exclude_unset' argument from BaseModel.dict() method
        - Store cached model defaults in self._defaults, avoid sharing references to mutable defaults
        - Limit model attributes to predefined fields by forbidding creating new attributes on fly
        - Store model values in self._values dict instead of private attributes
      - Spec:
        - Recommend openssh-clients for ssh-add that is required during ssh auth
        - Add 0%{?amzn} macro that wasn't usptreamed

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES12 / SLES_SAP12 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2024:2963-1 advisory.

    0.183.0
      - Fix possibility to overwrite special files in .osc (CVE-2024-22034 bsc#1225911)         Source files are now stored in the 'sources' subdirectory which prevents         name collisons. This requires changing version of '.osc' store to 2.0.
      - Fix errorneous double quotes in core.py

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 41 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-3d2a146701 advisory.

    New upstream release 1.9.1, fixes CVE-2024-22034

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 攻擊者可將 .osc 中的特殊檔案放入實際的套件來源 (例如 _apiurl)。這會允許攻擊者變更受害者的 osc 組態 (CVE-2024-22034)

請注意，Nessus 依賴供應商報告的套件存在。

リモートの Fedora 39 ホストには、FEDORA-2024-18d9a6ba14 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    新しい Upstream リリース 1.9.1 では、CVE-2024-22034 を修正しています

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 攻撃者は、.osc 内の特別なファイルを実際のパッケージソース（_apiurl など）に入れる可能性があります。これにより、攻撃者は、被害者の osc の構成を変更することができます（CVE-2024-22034）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
207244	Fedora 40 : osc (2024-b11026f492)	Nessus	Fedora Local Security Checks	9/13/2024	9/13/2024	medium
207244	Fedora 40 : osc (2024-b11026f492)	Nessus	Fedora Local Security Checks	9/13/2024	9/13/2024	medium
205862	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: osc (SUSE-SU-2024:2961-1)	Nessus	SuSE Local Security Checks	8/20/2024	8/20/2024	medium
205863	SUSE SLES12 セキュリティ更新: osc (SUSE-SU-2024:2963-1)	Nessus	SuSE Local Security Checks	8/20/2024	8/20/2024	medium
227903	Linux Distros 未修补的漏洞: CVE-2024-22034	Nessus	Misc.	3/5/2025	8/27/2025	medium
207215	Fedora 39 : osc (2024-18d9a6ba14)	Nessus	Fedora Local Security Checks	9/13/2024	9/13/2024	medium
227903	Linux Distros Unpatched Vulnerability : CVE-2024-22034	Nessus	Misc.	3/5/2025	8/27/2025	medium
205862	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : osc (SUSE-SU-2024:2961-1)	Nessus	SuSE Local Security Checks	8/20/2024	8/20/2024	medium
205863	SUSE SLES12 Security Update : osc (SUSE-SU-2024:2963-1)	Nessus	SuSE Local Security Checks	8/20/2024	8/20/2024	medium
211263	Fedora 41 : osc (2024-3d2a146701)	Nessus	Fedora Local Security Checks	11/14/2024	11/14/2024	medium
227903	Linux Distros 未修補弱點：CVE-2024-22034	Nessus	Misc.	3/5/2025	8/27/2025	medium
207215	Fedora 39 : osc (2024-18d9a6ba14)	Nessus	Fedora Local Security Checks	9/13/2024	9/13/2024	medium
227903	Linux Distros のパッチ未適用の脆弱性: CVE-2024-22034	Nessus	Misc.	3/5/2025	8/27/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium