SUSE SLED15 / SLES15 セキュリティ更新:alloy(SUSE-SU-2026:2438-1)
medium Nessus プラグイン ID 321596
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2438-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。alloy 用のこの更新は、次の問題を修正します
セキュリティ問題:
- CVE-2026-4427:github.com/jackc/pgproto3/v2:フィールド長の不適切な検証により、悪意のある PostgreSQL サーバーが DataRow メッセージを介してクライアントアプリケーションをクラッシュさせる可能性があります(bsc#1259919)。
- CVE-2026-25934:github.com/go-git/go-git/v5:.pack ファイルと .idx ファイルのデータの整合性値の検証が不適切なために、破損したファイルが消費される可能性があります(bsc#1258099)。
- CVE-2026-26958:filippo.io/edwards25519:MultiScalarMult でレシーバーの初期化に失敗すると、無効な結果が生成され、未定義の動作につながる可能性があります(bsc#1258609)。
- CVE-2026-33186:google.golang.org/grpc:HTTP/2 の不適切な検証による承認バイパス:
path 擬似ヘッダー(bsc#1260317)。
- CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262955)。
- CVE-2026-41602:github.com/apache/thrift:TFramedTransport フレームサイズヘッダーにより、uint32 整数オーバーフローが発生する可能性があります(bsc#1263530)。
非セキュリティ問題:
- systemd tmpfiles.d を使用して、/var/lib/alloy 階層を作成します(jsc#PED-14815)。
- バージョン 1.16.1 への更新
* バグ修正ロギング:ロギング構成を評価する前にコンポーネントログを記録する際のスタートアップデッドロックを修正します Beyla 3.9.8 への更新 Docker から Moby への移行
- Web UI アセットの構築に最新の openSUSE Tumbleweed イメージを使用します
- nvm をインストールして、upstream を指定するノードバージョンを設定します
- 1.16.0 への更新:
* 特徴
- loki.source.kubernetes_events のクラスタリングを追加します(#6027)(3dbf587)(@petewall)
- otelcol.auth.google クライアント認証プロバイダーを追加します(#5526)(da99a66)(@dashpole、@clayton-cornell)
- beyla.ebpf:v3.7.0 に更新します(#5966)(5126c2e)(@marctc)
- database_observability:GCP Cloud SQL メタデータのサポートを追加します(#5875)(5d23245)(@cristiangreco、@clayton-cornell)
- database_observability:ターゲットを任意にします(#5924)(54664b2)(@matthewnolf)
- database_observability:デフォルトで除外されるスキーマとユーザーを更新します(#6080)(b386fff)(@cristiangreco)
- faro.receiver:リモートロケーションからのソースマップフェッチを追加します(#4614)(b6cb5da)(@Oxel40)
- helm:global.image.pullPolicy のサポートを追加します(#6069)(2e2ce72)(@petewall)
- helm:構成リロードのためのイメージプルポリシーの構成を許可します(#5923)(991539b)(@kalleep)
- loki.secretfilter:タイムアウトしたログの行をマークするためのオプションlabel_timed_outを追加します(#5898)(2ad8834)(@kleimkuhler)
- loki.secretfilter:secrets_redacted_by_category_totalメトリック結合ルールと生成元を追加します(#5855)(053a2f7)(@kleimkuhler)
- loki.secretfilter:stdlib の代わりに go-re2 正規表現ライブラリを使用するように secretfilter を変更します(#5909)(c16a660)(@mikefat)
- loki.secretfilter:冗長な secrets_redacted_by_rule_total および secrets_redacted_by_origin メトリクスを削除します(#5970)(b16decb)(@kleimkuhler)
- Oracleエクスポート者は複数の DB をスクレイピングできます(#6008)(6fbad38)(@ptodev)
- prometheus.exporter.cloudwatch:YACE をアップグレードし、aws-sdk-go v1 サポートをドロップします(#5936)(f1c036d)(@x1unix)
- prometheus.exporter.mysql:mysqld_exporter 0.19.0 への更新(#5836)(4f49b57)(@cristiangreco)
- prometheus.remote_write:WAL を Upstream Prometheus と同期します(#5907)(e74a91b)(@x1unix)
- pyroscope:追加の async-profiler CLI 引数のサポートを追加します(#5472)(9251e33)(@ivanape)
- pyroscope:Parca gRPCデバッグ情報のアップロードをPyroscope Connect APIで置き換えます(#5891)(e7ea34a)(@korniltsev-grafanista)
- pyroscope:HTTP/1.1 アップロードAPI用のdebuginfoクライアントを更新します(#6037)(879d8e5)(@korniltsev-grafanista)
- サービス停止コマンドを「sc」から「net」へ変更します(#5906)(450973d)(@mateuszdrab)
- database_observability.mysql:plan ループのバッチサイズをリファクタリングします(#5894)(f0fcd6b)(@cristiangreco)
- database_observability.postgres:再接続時の埋め込まれたエクスポーターコレクターをクリーンアップします(#6079)(f30d9ae)(@cristiangreco)
- database_observability.postgres:プレースホルダーが繰り返されるときの EXPLAIN パラメーターカウントを修正します(#6082)(b612b81)(@rgeyer)
- database_observability:ログからschema_detectionを破棄します(#6076)(b0105cb)(@cristiangreco)
- database_observability:connection_info_monitor goroutine が停止で終了するようにします(#5874)(1e3334b)(@cristiangreco)
- deps:モジュール github.com/aws/aws-sdk-go-v2/service/s3 を v1.97.3 に更新 [セキュリティ] (#6004) (38f4346)
- deps:モジュール github.com/go-git/go-git/v5 を v5.17.1 に更新 [セキュリティ] (#5934)(a5154af)
- deps:モジュール github.com/go-git/go-git/v5 を v5.18.0 に更新 [セキュリティ] (#6090)(0e59d64)
- deps:モジュール github.com/nwaples/rardecode/v2 を v2.2.0 に更新します [セキュリティ](b44d51a)(@jharvey10)
- deps:モジュール go.opentelemetry.io/otel/exporters/otlp/otlpmetric/otlpmetrichttp を v1.43.0 に更新します [セキュリティ] (#6016) (d92c5c0) go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp v1.43.0 に更新します [セキュリティ] (#6017) (e655bbc)
- deps:モジュール go.opentelemetry.io/otel/sdk を v1.43.0 に更新 [セキュリティ] (#6018) (94006e8)
- deps:いくつかのマイナー go dep バージョンを更新します(#5896)(4ddd0ed)(@jharvey10)
- go:合金ビルダーのイメージを Go 1.25.9 に更新します(#6012)(d2ae8b8)(@x1unix)
- go:Go 1.25.9 にアップグレードします(#6019)(d777ed1)(@x1unix、@kalleep)
- Helm:RBAC テンプレートが空のルール配列を処理します(#4860)(c9430e9)(@naptalie、@dehaansa、@kalleep)
- loki.process:マルチラインステージのストリームごとの goroutine を排除します(#6036)(c089e2e)(@kgeckhart)
- loki.process:stage.structured_metadata が同一のメタデータを複数回追加することを防ぎます(#5965)(0ec8a26)(@kalleep、@thampiotr)
- loki.process:テンプレートをカスタムタイプでラップし、検証を構文に移動します。バリデーター (#5910) (700dd7d) (@kalleep)
- prometheus.exporter.postgres:更新で DB 接続を切断します(#6021)(8da97cf)(@kalleep)
- prometheus.scrape:実行時に更新されるようにscrape_native_histogramsを更新します(#6087)(18b205c)(@kalleep)
- pyroscope.ebpf:irsymcache の LRU 削除のデッドロックを修正します(#5911)(03ca563)(@luweglarz)
- pyroscope.ebpf:コンポーネントエラー処理後に Pyroscope ebpf メトリクス登録を移動します(#5540)(a3c57c0)(@crbednarz、@marcsanmi)
- pyroscope:debuginfo connect-goクライアントにユーザーエージェントを設定します(#6022)(38ad1ef)(@korniltsev-grafanista)
- ui:大きな引数がレンダリングされるのではなくファイルとしてダウンロードされます(#5268)(26c67b3)(@ptodev)
- go-m1cpu v0.1.7 -> v0.2.1 を更新して、M5 チップのクラッシュを修正します(#6034)(7fa0cbc)(@ymotongpoo)
- windows-installer:障害遅延時のサービス再起動を増加します(#5969)(add15b1)(@rknightion)
- NPM でホストシステムを危険にさらしたり汚染したりしないように、podman コンテナ内の Web 資産をパッケージ化するためのスクリプトを追加します
- 1.15.1 への更新:
goroutine が停止時に終了します
* CVE-2026-34986:JWE 復号化でのパニックを修正(bsc#1262955)
- 1.15.0 への更新:
* 互換性に影響する変更
- otelcol:OTel Collector v0.147.0 にアップグレードしてください
- 以前は <component_id><metric_name> が付いたドキュメント化されていないメトリクスの名前が loki_source_awsfirehose に変更されました。<metric_name>
* セキュリティ CVE-2026-26958:filippo.io/edwards25519 をバージョン 1.1.1 (bsc#1258609)に更新してください。
- alloy-mixin:フィルター、groupBy、複数選択ダッシュボード変数を追加します
- beyla.ebpf:Prometheus ネイティブのヒストグラムのサポートを追加します
- beyla.ebpf:Beyla を v3.6 に更新します
- コンバーター:Promtail limits_configの変換をサポート
- database_observability.mysql:クエリサンプルのフィルタリングを追加し、最小期間によるイベントを待機します
- database_observability.mysql:db-o11y コンポーネント内に prometheus エクスポーターを組み込みます
- database_observability.postgres:クエリpg_stat_statements構成可能な制限を追加します
- database_observability.postgres:prometheus エクスポーターを組み込みます
- database_observability:コンポーネントを安定版にプロモートします
- 空の msg フィールドがある syslog を処理する機能を露出します
- loki.process:構造化メタデータを loki.process の stage.labels のソースタイプとしてサポートします
- loki.secretfilter:secretfilter エントリのサンプリングを追加します
- loki.source.gcplog:MaxOutstandingBytes と MaxOutstandingMessages の合金構成を追加します
- loki.write:loki パイプラインレイテンシメトリクスを追加します
- mixin:loki ダッシュボードを更新します
- otelcol.receiver.datadog:インテークプロキシおよびtrace_id_cache_size設定を公開します
- prometheus.exporter.cloudwatch:デフォルトで aws-sdk-go-v2 を使用します
- pyroscope.ebpf:comm、pid ラベルおよびカーネルフレームオプションを追加します
- 1.14.1 への更新:
- otelcol.receiver.kafka 構成で非推奨のトピックフィールドを正しく処理します
- loki.process:docker json 形式とは思えない json に対して保護します
- loki.source.file:読み取りが終了したときに圧縮ファイルの位置を保持します
- prometheus.scrape:scrape_native_histograms と extra_metrics が更新されていても、引数とターゲットが更新されます
- 1.14.0 への更新:
- loki.secretfilter:一部の構成オプションが完全に削除されました:
partial_mask (redact_percent で置き換えられます)、許可リスト (現在はカスタム gitleaks 設定で制御されます)、enable_entropy、include_generic、タイプ (現在はカスタム gitleaks 設定で制御されます)。
- otelcol.receiver.prometheus:otelcol.receiver.prometheus は、OTLP メトリクスの開始時刻を設定しなくなりました。
* セキュリティ:
- 1.13.2 への更新:
- 欠落しているotelcol.processor.tail_samplingオプションを露出します
- mixin:zip されたダッシュボードをリリース成果物として追加します
- profiler:gopclntab textStart 修正 1.26 Go をバックポートします
- prometheus.exporter.postgres:エクスポーターフォークのバージョンを更新し、pg_settingsを修正します
- pyroscope.ebpf:dotnet ニブルマップ修正をバックポートします
- 1.13.1 への更新:
- 新しいものを開始する前のタイムアウト
- 1.13.0 への更新:
- otelcol:OTel Collector v0.142.0 にアップグレードしてください
- otelcol.receiver.kafka:グローバルトピック属性は削除されました。代わりに、Logs、Metrics、Traces ブロック内の Topics 属性を使用します。
- otelcol.exporter > sending_queue >バッチ> min_sizeを 8192 から 2000 へ、max_size を 0 から 3000 へ変更しました
- otelcol.connector.servicegraph に virtual_node_peer_attributes と virtual_node_extra_label 引数を追加します
- otelcol.processor.metric_start_timeコンポーネントの追加
- CW エクスポーターに対するジョブレベルの期間、長さ、add_cloudwatch_timestampのオプションとlabels_snake_caseを追加します
- k8sattributes プロセッサに欠落している構成パラメーター deployment_name_from_replicasetを追加します
- pyroscope.ebpf にアップロードされる parcas シンボルが追加されます
- loki.write のシャーディングを追加します
- 公開されていない otel エンジンと拡張をコードベースに追加し、ビルド構造を変更します
- beyla.ebpf:beyla.ebpf.attributes.kubernetes にmeta_cache_addressを追加します
- beyla.ebpf:Beyla を v2.8.5 にアップグレードしてください
- otelcol.exporter コンポーネント内のバッチブロックsending_queue >デフォルトを変更します
- cluster:で DNS ディスカバリモードのプレフィックスをサポート
--cluster.join-addresses フラグ
- コンバーター:loki.source.file のfile_matchブロックを使用するために promtail コンバーターを更新します
- database_observability:postgres コンポーネントのヘルスチェックコレクターを追加します
- database_observability:exclude_schemas と exclude_databases の設定を露出します
- database_observability:Azure クラウドプロバイダーの構成データをサポート
- database_observability.mysql:すべてのコレクターにおけるスキーマの除外をサポート
- database_observability.postgres:すべてのコレクターにおける DB の除外をサポートします
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける alloy パッケージを更新してください。参考資料
https://bugzilla.suse.com/1258099
https://bugzilla.suse.com/1258609
https://bugzilla.suse.com/1259919
https://bugzilla.suse.com/1260317
https://bugzilla.suse.com/1262955
https://bugzilla.suse.com/1263530
https://lists.suse.com/pipermail/sle-updates/2026-June/047406.html
https://www.suse.com/security/cve/CVE-2026-25934
https://www.suse.com/security/cve/CVE-2026-26958
https://www.suse.com/security/cve/CVE-2026-33186
プラグインの詳細
深刻度: Medium
ID: 321596
ファイル名: suse_SU-2026-2438-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/6/20
更新日: 2026/6/20
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.3
パーセンタイル: 96.81
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2026-25934
CVSS v3
リスクファクター: Medium
基本値: 4.3
現状値: 3.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Medium
Base Score: 6.3
Threat Score: 2.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-26958
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:alloy
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/6/17
脆弱性公開日: 2026/2/9
参照情報
CVE: CVE-2026-25934, CVE-2026-26958, CVE-2026-33186, CVE-2026-34986, CVE-2026-41602
SuSE: SUSE-SU-2026:2438-1