There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - in-toto is a framework to protect supply chain integrity. The in-toto configuration is read from various
    directories and allows users to configure the behavior of the framework. The files are from directories
    following the XDG base directory specification. In versions 1.4.0 and prior, among the files read is
    `.in_totorc` which is a hidden file in the directory in which in-toto is run. If an attacker controls the
    inputs to a supply chain step, they can mask their activities by also passing in an `.in_totorc` file that
    includes the necessary exclude patterns and settings. RC files are widely used in other systems and
    security issues have been discovered in their implementations as well. Maintainers found in their
    conversations with in-toto adopters that `in_totorc` is not their preferred way to configure in-toto. As
    none of the options supported in `in_totorc` is unique, and can be set elsewhere using API parameters or
    CLI arguments, the maintainers decided to drop support for `in_totorc`. in-toto's `user_settings` module
    has been dropped altogether in commit 3a21d84f40811b7d191fa7bd17265c1f99599afd. Users may also sandbox
    functionary code as a security measure. (CVE-2023-32076)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - in-toto 是保護供應鏈完整性的架構。in-toto 組態是從多個目錄讀取，並允許使用者設定架構的行為。檔案來自遵循 XDG 基本目錄規格的目錄。在 1.4.0 版和更舊版本中，讀取的檔案中有「.in_totorc」，這是執行 in-toto 的目錄中的隱藏檔案。如果攻擊者控制了供應鏈步驟的輸入，他們也可以透過傳入包含必要排除模式和設定的「.in_totorc」檔案來遮蔽其活動。RC 檔案廣泛用於其他系統，在其實作中也發現安全性問題。維護者在與 in-toto 採用者的交談中發現，`in_totorc` 不是他們設定 in-toto 的偏好方式。由於「in_totorc」支援的選項皆非唯一，且可使用 API 參數或 CLI 引數在其他位置設定，因此維護者決定停止「in_totorc」支援。 in-toto 的 `user_settings` 模組已在認可 3a21d84f40811b7d191fa7bd17265c1f99599afd 中完全捨棄。使用者亦可使用沙箱功能程式碼作為安全性措施。 (CVE-2023-32076)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - in-toto 是用于保护供应链完整性的框架。in-toto 配置从各种目录读取，并允许用户配置框架的行为。这些文件来自于遵循 XDG 基本目录规范的目录。在版本 1.4.0 及之前版本中，读取的文件中有“.in_totorc”，这是运行 in-toto 的目录中的隐藏文件。如果攻击者控制了供应链步骤的输入，则他们可通过同时传入包含必要的排除模式和设置的“.in_totorc”文件来掩盖其活动。RC 文件广泛用于其他系统，且在其实现中也发现安全问题。维护者在与 in-toto 采用者的对话中发现，“in_totorc”不是配置 in-toto 的首选方式。由于“in_totorc”中支持的选项都不是唯一的，并且可使用 API 参数或 CLI 参数在别处设置，因此维护人员决定终止对“in_totorc”的支持。 in-toto 的“user_settings”模块已在提交 3a21d84f40811b7d191fa7bd17265c1f99599afd 中完全终止。作为安全措施，用户也可以沙盒功能代码。 (CVE-2023-32076)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - in-toto は、サプライチェーンの整合性を保護するためのフレームワークです。in-toto 構成はさまざまなディレクトリから読み取られ、ユーザーがフレームワークの動作を構成できるようにします。ファイルは、XDG ベースディレクトリ仕様に従うディレクトリからのものです。 1.4.0 以前のバージョンでは、読み取られるファイルにはin-totoが実行されるディレクトリの非表示ファイルである「.in_totorc」があります。攻撃者がサプライチェーンのステップへの入力を制御する場合、必要な除外パターンと設定を含む「.in_totorc」ファイルも渡すことで、攻撃者が攻撃をマスクする可能性があります。RC ファイルは他のシステムで広く使用されており、その実装においてもセキュリティの問題が発見されています。メンテナーは、in-toto アダプターとの会話の中で、「in_totorc」は in-toto を構成するための好ましい方法ではないことを発見しました。「in_totorc」でサポートされているオプションはどれも固有のものではなく、API パラメーターまたは CLI 引数を使用して他の場所でも設定できるため、メンテナーは「in_totorc」のサポートを中止することを決定しました。 in-toto の「user_settings」モジュールが、コミット 3a21d84f40811b7d191fa7bd17265c1f99599afd で完全にドロップされました。ユーザーは、セキュリティ対策として関数コードをサンドボックス化することもできます。 （CVE-2023-32076）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - in-toto is a framework to protect supply chain integrity. The in-toto configuration is read from various     directories and allows users to configure the behavior of the framework. The files are from directories     following the XDG base directory specification. In versions 1.4.0 and prior, among the files read is     `.in_totorc` which is a hidden file in the directory in which in-toto is run. If an attacker controls the     inputs to a supply chain step, they can mask their activities by also passing in an `.in_totorc` file that     includes the necessary exclude patterns and settings. RC files are widely used in other systems and     security issues have been discovered in their implementations as well. Maintainers found in their     conversations with in-toto adopters that `in_totorc` is not their preferred way to configure in-toto. As     none of the options supported in `in_totorc` is unique, and can be set elsewhere using API parameters or     CLI arguments, the maintainers decided to drop support for `in_totorc`. in-toto's `user_settings` module     has been dropped altogether in commit 3a21d84f40811b7d191fa7bd17265c1f99599afd. Users may also sandbox     functionary code as a security measure. (CVE-2023-32076)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
421670	SCA: security update for in-toto (GHSA-wc64-c5rv-32pf)	Tenable Cloud Security	SCA Checks	3/28/2025	7/2/2026	medium
421670	SCA: security update for in-toto (GHSA-wc64-c5rv-32pf)	Tenable Self-Hosted Container Security	SCA Checks	3/28/2025	7/2/2026	medium
226856	Linux Distros 未修補弱點：CVE-2023-32076	Nessus	Misc.	3/5/2025	9/2/2026	medium
226856	Linux Distros 未修补的漏洞: CVE-2023-32076	Nessus	Misc.	3/5/2025	9/2/2026	medium
226856	Linux Distros のパッチ未適用の脆弱性: CVE-2023-32076	Nessus	Misc.	3/5/2025	9/2/2026	medium
226856	Linux Distros Unpatched Vulnerability : CVE-2023-32076	Nessus	Misc.	3/5/2025	9/2/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium