因此，该软件受到 ALAS2023-2026-2026 公告中提及的多个漏洞影响。

    据发现，直到 1.1.0 的 Dulwich 在 contrib/paramiko_vendor.py 中缺少 SSH 主机密钥验证。
    (CVE-2026-38974)

    在 Windows 上克隆或签出恶意 Git 存储库时，任意文件写入会导致远程代码执行。

    Dulwich 的路径元素验证器接受了树条目，其文件名包含 Windows 解释为结构路径语法的字节：

    \ -- Windows 路径分隔符。名为 .git\hooks\pre-commit.exe 的单个树条目在 POSIX 上被视为一个有效文件名，但在 Windows 上却具体化为嵌套目录 .git/hooks/pre-commit.exe，从而在受害者的 .git 目录中植入一个文件。然后，Git for Windows 在下一个 git 提交中执行该挂钩，从而使攻击者能够在受害者的用户环境中执行任意代码。相同的基元可以与 ..\outside.txt 结合使用以转义工作树。-- NTFS alternate-data-stream 标记。
    .git::$INDEX_ALLOCATION 直接写入受害者的 .git 实体，绕过 .git-as-a-directory check.git~ -- NTFS 的 NTFS 8.3 短名称别名。仅拒绝了文字 git1；git2、git10、GIT1 等全部被接受。促成配置错误使情况变得更糟。在错误的选项名称下查找 core.protectNTFS 和 core.protectHFS 设置，因此用户设置的值会静默忽略，并且 core.protectNTFS 仅在 Windows 上默认为 true（Git 上游在 CVE-2019-1353 之后会在所有地方都默认为 true）。两者均已更正。

    任何通过 Dulwich CLI、porcelain.clone 或任何构建于 Dulwich 的下游工具，在 Windows 上使用 Dulwich 克隆、获取或检验不受信任的存储库的用户都会受到影响。POSIX 克隆不可直接利用（POSIX \ 上是文本文件名字节），但 POSIX 用户可通过推送或重新发布在不知不觉中将恶意树传递给 Windows 用户。（CVE-2026-42305）

    不受控制的资源消耗（内存耗尽）拒绝服务漏洞 (CWE-400 / CWE-789)。

    具有推送访问权限的客户端可推送构建的微小精简包（~174 字节），其 delta 标头会声明巨大的 dest_size。当 dulwich 通过 add_thin_pack / apply_delta 提取此文件时，它会根据攻击者控制的大小分配数百 MB 的内存，与实际收到的字节无关。

    受影响者：运行暴露 git-receive-pack（即接受推送）的基于 dulwich 的 Git 服务器的操作员，例如通过 dulwich.server 功能、HTTP 智能服务器或任何构建于 ReceivePackHandler 的内容。(CVE-2026-47734)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 contrib/paramiko_vendor.py 中发现 Dulwich through 1.1.0 缺少 SSH 主机密钥验证。
    (CVE-2026-38974)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-2026 公告中所提及的多個弱點影響。

    Dulwich 1.1.0 之前的版本被發現於 contrib/paramiko_vendor.py 中缺少 SSH 主機金鑰驗證。
    (CVE-2026-38974)

    在 Windows 上複製或簽出惡意 Git 儲存庫時，會引發任意檔案寫入並導致遠端程式碼執行。

    Dulwich 的路徑元素驗證器接受了檔名包含 Windows 直譯為結構化路徑語法之位元組的樹狀結構項目：

    \ -- 即 Windows 路徑分隔號。名為 .git\hooks\pre-commit.exe 的單一樹狀結構項目，在 POSIX 上會被視為單一有效檔名，但在 Windows 上則會實體化為巢狀目錄 .git/hooks/pre-commit.exe，進而將檔案植入受害者的 .git 目錄中。隨後，Windows 版 Git 會在下一次執行 git commit 時執行該鉤子，讓攻擊者在受害者的使用者權限下執行任意程式碼。相同的手法亦可用於 ..\outside.txt 來逃脫工作樹。: -- 即 NTFS 的替代資料流標記。
    .git::$INDEX_ALLOCATION 會直接寫入受害者的 .git 實體，繞過將 .git 視為目錄的檢查。git~ -- .git 的 NTFS 8.3 短檔名別名。僅有字面完全相符的 git1 被擋下；git2、git10、GIT1 等則全放行。設定上的錯誤更讓情況雪上加霜。core.protectNTFS 與 core.protectHFS 設定因讀取時使用了錯誤的選項名稱，導致使用者設定的值被靜默忽略，且 core.protectNTFS 僅在 Windows 上預設為 true（而 Git 上游自 CVE-2019-1353 起已在所有環境中將其預設為 true）。兩者都已更正。

    任何在 Windows 上使用 Dulwich 複製、擷取或檢出不可信儲存庫的使用者，無論是透過 Dulwich CLI、porcelain.clone，還是任何基於 Dulwich 開發的下游工具，都會受到影響。POSIX 上的複製操作無法直接被利用 (在 POSIX 環境中，\ 僅被視為字面上的檔名位元組)，但 POSIX 使用者可能會在不知情的情況下，透過推送或重新發布，將惡意樹狀結構散播給 Windows 使用者。(CVE-2026-42305)

    一種不受控制的資源消耗 (記憶體耗盡) 拒絕服務弱點 (CWE-400 / CWE-789)。

    擁有推送權限的用戶端可以推送一個經過精緻設計且極小的薄封包 (約 174 位元組)，其差異標頭宣告了巨大 dest_size。當 Dulwich 透過 add_thin_pack 或 apply_delta 吸收該封包時，會根據攻擊者所控制的大量數字配給數百百萬位元組的記憶體，而這與實際接收到的資料大小完全無關。

    受影響對象：運作基於 Dulwich 的 Git 伺服器且開放 git-receive-pack (即接受推送) 的維運人員，例如透過 dulwich.server 功能、HTTP 智慧伺服器，或任何基於 ReceivePackHandler 建構的服務。(CVE-2026-47734)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 contrib/paramiko_vendor.py 中發現 Dulwich through 1.1.0 缺少SSH主機金鑰驗證。
    (CVE-2026-38974)

請注意，Nessus 依賴供應商報告的套件存在。

したがって、ALAS2023-2026-2026 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    1.1.0 までの Dulwich では、contrib/paramiko_vendor.py にホストキー SSH 検証がないことが見つかりました。
    (CVE-2026-38974)

    Windows で悪意のある Git リポジトリを複製またはチェックするときにリモートでコードが実行される、任意のファイル書き込み。

    Dulwich のパス要素のバリデーターは、ファイル名に Windows が構造化パス構文として解釈するバイトを含むツリーエントリを受け入れました。

    \ -- Windows のパスセパレーター。.git\hooks\pre-commit.exe という名前の単一のツリーエントリは、POSIX では 1 つの有効なファイル名として扱われていましたが、Windows ではネスト化されたディレクトリ .git/hooks/pre-commit.exe として具体化され、被害者の .git ディレクトリ内にファイルが配置されました。その後、Git for Windows は次の git コミットでそのフックを実行し、被害者のユーザーコンテキストで攻撃者に任意のコードを実行させます。同じプリミティブを ..\outside.txt と組み合わせることで、作業ツリーから脱出することも可能です。NTFS の代替データストリームマーカー。
    .git::$INDEX_ALLOCATION は、.git がディレクトリであるかどうかのチェックを迂回して、被害者の .git エンティティに直接書き込みを行います。git~ -- .git の NTFS 8.3 ショートネームエイリアス。文字通りの git1 だけが拒否され、git2、git10、GIT1 などはすべて受け入れられました。設定に関するバグが報告されたことで、事態はさらに悪化しました。core.protectNTFS と core.protectHFS の設定が間違ったオプション名で検索されていたため、ユーザー設定値が無視され、core.protectNTFS は Windows でのみ true にデフォルト設定されました ( CVE-2019-1353以降、Git の Upstream はどこでもデフォルトで true になっています)。両方とも修正されました。

    Windows 上で Dulwich を使用して、信頼できないリポジトリをクローン、フェッチ、またはチェックアウトするユーザー (Dulwich CLI、porcelain.clone、または Dulwich を基盤とするダウンストリームツールのいずれを使用する場合でも) は、この問題の影響を受けます。POSIX クローン自体は直接悪用されることはありません (POSIX では「\」はリテラルなファイル名バイト) が、POSIX ユーザーは、プッシュや再公開を通じて、知らず知らずのうちに悪意のあるツリーを Windows ユーザーに拡散させてしまう可能性があります。(CVE-2026-42305)

    制御されないリソース消費 (メモリの枯渇) によるサービス拒否の脆弱性 (CWE-400 / CWE-789)。

    プッシュアクセス権限を持つクライアントは、デルタヘッダーで巨大な dest_size を宣言した、細工されたごく小さなシンパック (~174 バイト) をプッシュすることが可能です。dulwich が add_thin_pack / apply_delta を介して取り込むと、実際に受信したバイトとは無関係に、攻撃者が制御するサイズに基づいて数百 MB のメモリが割り当てられます。

    影響を受ける対象: git-receive-pack を公開する (つまりプッシュを受け入れる) dulwich ベースの Git サーバーを実行しているオペレーター。たとえば、dulwich.server 機能、HTTP スマートサーバー、または ReceivePackHandler 上に構築されたシステムなどが挙げられます。(CVE-2026-47734)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.1.0 までの Dulwich では、contrib/paramiko_vendor.py にホストキー SSH検証がないことが見つかりました。
    (CVE-2026-38974)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3459-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python3-dulwich のこの更新により、以下の問題が修正されます

    - CVE-2026-38974: 1.1.0 までの Dulwich では、contrib/paramiko_vendor.py にホストキー SSH検証がないことが判明しました(bsc#1271525)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2026:3408-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python-dulwich のこの更新は、次の問題を修正します

    - CVE-2026-38974: 1.1.0 までの Dulwich では、contrib/paramiko_vendor.py にホストキー SSH検証がないことが判明しました(bsc#1271525)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2026:3459-1 advisory.

    This update for python3-dulwich fixes the following issue

    - CVE-2026-38974: Dulwich through 1.1.0 was found to be missing SSH host key verification in     contrib/paramiko_vendor.py (bsc#1271525).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2026 advisory.

    Dulwich through 1.1.0 was found to be missing SSH host key verification in contrib/paramiko_vendor.py.
    (CVE-2026-38974)

    Arbitrary file write leading to remote code execution when cloning or checking out a malicious Git     repository on Windows.

    Dulwich's path-element validator accepted tree entries whose filenames contained bytes that Windows     interprets as structural path syntax:

    \ -- the Windows path separator. A single tree entry named .git\hooks\pre-commit.exe was treated as one     valid filename on POSIX but materialized as nested directories .git/hooks/pre-commit.exe on Windows,     planting a file inside the victim's .git directory. Git for Windows thenexecutes that hook on the next git     commit, giving the attacker arbitrary code execution in the victim's user context. The same primitive can     be used with ..\outside.txt to escape the work tree.: -- the NTFS alternate-data-stream marker.
    .git::$INDEX_ALLOCATION writes directly into the victim's .git entity, bypassing the .git-as-a-directory     check.git~ -- NTFS 8.3 short-name aliases of .git. Only the literal git1 was rejected; git2, git10, GIT1,     etc. were all accepted.Contributing configuration bugs made matters worse. The core.protectNTFS and     core.protectHFS settings were looked up under a wrong option name and so user-set values were silently     ignored, and core.protectNTFS only defaulted to true on Windows (Git upstream has defaulted it to true     everywhere since CVE-2019-1353). Both have been corrected.

    Anyone who clones, fetches, or checks out an untrusted repository with Dulwich on Windows - either through     the Dulwich CLI, porcelain.clone, or any downstream tool built on Dulwich - is impacted. POSIX clones are     not directly exploitable (on POSIX \ is a literal filename byte), but a POSIX user can unknowingly     propagate a malicious tree to Windows consumers via push or re-publication. (CVE-2026-42305)

    An uncontrolled-resource-consumption (memory exhaustion) denial-of-service vulnerability (CWE-400 /     CWE-789).

    A client with push access could push a tiny crafted thin pack (~174 bytes) whose delta header declares a     huge dest_size. When dulwich ingested it via add_thin_pack / apply_delta, it would allocate hundreds of MB     of memory based on that attacker-controlled size, with no relationship to the actual bytes received.

    Who is impacted: Operators running a dulwich-based Git server that exposes git-receive-pack (i.e. accepts     pushes) -for example via dulwich.server functionality, the HTTP smart server, or anything built on     ReceivePackHandler. (CVE-2026-47734)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Dulwich through 1.1.0 was found to be missing SSH host key verification in contrib/paramiko_vendor.py.
    (CVE-2026-38974)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES12 / SLES_SAP12 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2026:3408-1 advisory.

    This update for python-dulwich fixes the following issue

    - CVE-2026-38974: Dulwich through 1.1.0 was found to be missing SSH host key verification in     contrib/paramiko_vendor.py (bsc#1271525).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
332007	Amazon Linux 2023：python3-dulwich (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	8/4/2026	8/4/2026	high
327356	Linux Distros 未修补的漏洞：CVE-2026-38974	Nessus	Misc.	7/16/2026	11/5/2026	medium
332007	Amazon Linux 2023：python3-idna (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	8/4/2026	8/4/2026	high
327356	Linux Distros 未修補弱點：CVE-2026-38974	Nessus	Misc.	7/16/2026	11/5/2026	medium
332007	Amazon Linux 2023 : python3-dulwich (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	8/4/2026	8/4/2026	high
327356	Linux Distros のパッチ未適用の脆弱性: CVE-2026-38974	Nessus	Misc.	7/16/2026	11/5/2026	medium
331835	SUSE SLED15 / SLES15 セキュリティ更新:python3-dulwich(SUSE-SU-2026:3459-1)	Nessus	SuSE Local Security Checks	8/4/2026	8/4/2026	medium
331459	SUSE SLES12 セキュリティ更新:python-dulwich(SUSE-SU-2026:3408-1)	Nessus	SuSE Local Security Checks	7/31/2026	7/31/2026	medium
331835	SUSE SLED15 / SLES15 Security Update : python3-dulwich (SUSE-SU-2026:3459-1)	Nessus	SuSE Local Security Checks	8/4/2026	8/4/2026	medium
332007	Amazon Linux 2023 : python3-dulwich (ALAS2023-2026-2026)	Nessus	Amazon Linux Local Security Checks	8/4/2026	8/4/2026	high
327356	Linux Distros Unpatched Vulnerability : CVE-2026-38974	Nessus	Misc.	7/16/2026	11/5/2026	medium
331459	SUSE SLES12 Security Update : python-dulwich (SUSE-SU-2026:3408-1)	Nessus	SuSE Local Security Checks	7/31/2026	7/31/2026	medium

Detections

Analytics

Plugins Search

high

medium

high

medium

high

medium

medium

medium

medium

high

medium

medium