openSUSE 16 セキュリティ更新:google-osconfig-agent(openSUSE-SU-2026:21210-1)
high Nessus プラグイン ID 325024
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティ アップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21210-1 アドバイザリで言及されています。google-osconfig-agent用のこの更新プログラムでは、以下の問題が修正されています
- CVE-2023-45288:golang.org/x/net/http2:受信するヘッダーが多すぎる場合、接続を切断します。
- CVE-2025-47911:golang.org/x/net/html:HTML ドキュメント解析時の二次複雑度を伴うさまざまなアルゴリズム(bsc#1251453)。
- CVE-2025-58190:golang.org/x/net/html:「html.特別に細工された入力を処理する際に、 ParseFragment」を引き起こす可能性があります(bsc#1251704)。
- CVE-2026-33186:google.golang.org/grpc:HTTP/2 :p ath pseudo-header(bsc#1260264)の不適切な検証による承認バイパス。
- CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265762)。
- CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262926)。
- CVE-2026-39821:golang.org/x/net/idna:ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格(bsc#1266603)が可能になります。
- CVE-2026-39827: チャネルを拒否するときにメモリリークを呼び出すと、golang.org/x/crypto/ssh で DoS が発生する可能性があります (bsc#1266171)。
- CVE-2026-39828: golang.org/x/crypto/ssh における証明書制限のバイパスの呼び出し (bsc#1266171)。
- CVE-2026-39829: 異常な RSA/DSA パラメーターを呼び出すと、golang.org/x/crypto/ssh で DoS を引き起こす可能性があります (bsc#1266171)。
- CVE-2026-39830: クライアントを呼び出すと、golang.org/x/crypto/ssh の予期しない応答でサーバーのデッドロックを引き起こす可能性があります (bsc#1266171)。
- CVE-2026-39831: golang.org/x/crypto/ssh における FIDO/U2F セキュリティキーの物理的相互作用のバイパス呼び出し (bsc#1266171)。
- CVE-2026-39832: golang.org/x/crypto/ssh/agent でキーを転送する際にドロップされたエージェント制約の呼び出し (bsc#1266171)。
- CVE-2026-39833: golang.org/x/crypto/ssh/agent で強制されていないキー制約の呼び出し (bsc#1266171)。
- CVE-2026-39834: golang.org/x/crypto/ssh における大きなチャネル書き込みでの無限ループの呼び出し (bsc#1266171)。
- CVE-2026-39835: golang.org/x/crypto/ssh の CheckHostKey/Authenticate 中のサーバーパニックの呼び出し (bsc#1266171)。
- CVE-2026-42508: golang.org/x/crypto/ssh/knownhosts の強制されていない @revoked ステータスを介した認証バイパスの呼び出し (bsc#1266171)。
- CVE-2026-46595: golang.org/x/crypto/ssh の VerifiedPublicKeyCallback 権限スキップ強制の呼び出し (bsc#1266171)。
- CVE-2026-46597: バイト演算を呼び出すと、golang.org/x/crypto/ssh でアンダーフローとパニックを引き起こします (bsc#1266171)。
- CVE-2026-46598: 異常な入力を呼び出すと、golang.org/x/crypto/ssh/agent でクライアントパニックを引き起こす可能性があります (bsc#1266171)。
- CVE-2026-41506: github.com/go-git/go-git/v5: スマート HTTP の複製とフェッチの操作でリダイレクトを追跡した際に発生する HTTP 認証情報の漏洩 (bsc#1264923)。
google-osconfig-agent に対する変更:
- バージョン 20260615.01 への更新
* golang.org/x/crypto &; golang.org/x/net へのアップグレード(#1006)
- バージョン 20260615.00 から
* ospatch_apt_upgrade.go の単体テストを追加します(#938)
- バージョン 20260611.00 への更新
* policies/policies.go のユニットテストを追加します パート 5 (#998)
- バージョン 20260610.00 から
* policies/policies.go のユニットテストを追加します パート 4 (#997)
- バージョン 20260609.02 から
* squash がコミット(#936)
- バージョン 20260609.01 から
* policies/policies.go のユニットテストを追加します パート 3 (#996)
- バージョン 20260609.00 から
* policies/policies.go のユニットテストを追加します パート 2 (#991)
- バージョン 20260602.01 から
* Windowsパッケージ間で収集した日付とタイムスタンプの形式を調整します(#973)
- バージョン 20260602.00 から
* config/config、go の単体テストを追加します(#979)
- バージョン 20260528.00 から
* github.com/containerd/containerd を更新します(#990)
- バージョン 20260521.00 から
* エージェント構成機能をユニットテストでカバーします(#925)
- バージョン 20260520.04 から
* policies/googet.go の単体テストを追加します(#961)
* github.com/go-git/go-git/v5 を更新します(#987)
- バージョン 20260520.02 から
* policies/yum.go のユニットテストを追加します(#952)
* policies/apt.go の単体テストを追加します パート 3 (#951)
- バージョン 20260520.00 から
* policies/zypper.go のユニットテストを追加します(#953)
- バージョン 20260519.00 から
* policies/policies.go のユニットテストを追加します パート 1 (#949)
- バージョン 20260513.01 から
* github.com/go-git/go-git/v5 を更新(#981)、これも v0.53.0 に更新 golang.org/x/net(bsc#1265762、 CVE-2026-33814)
- バージョン 20260513.00 から
* いくつかのパッケージをアップグレード(#980)
- バージョン 20260512.02 から
* agentendpoint/exec_task.go の単体テストを追加/改善します(#933)
- バージョン 20260512.01 から
* ユニットテストで google_update.go をカバーします(#941)
- バージョン 20260512.00 から
* 在庫切れのため arm64 ビルドのゾーンを変更(#978)
- バージョン 20260511.00 への更新
* ARM パッケージビルドで t2a-standard-2 に切り替えます(#977)
- バージョン 20260505.03 から
* ユニットテストによるzypper_patchをカバーします(#958)
- バージョン 20260505.02 から
* 未使用の関数 DisableAutoUpdates を削除します(#970)
- バージョン 20260505.01 から
* go.opentelemetry.io/contrib/instrumentation/google.golang.org/grpc/otelgrpc を更新します(#966)
- バージョン 20260505.00 から
* リポジトリ全体でいくつかの依存関係をアップグレードします(#968) + github.com/go-git/go-git/v5 5.16.2->5.18.0 (bsc#1264923、 CVE-2026-41506) + github.com/go-jose/go-jose/v4 4.1.3->4.1.4 (bsc#1262926、 CVE-2026-34986) + github.com/go-viper/mapstructure/v2 2.3.0->2.4.0 + go.opentelemetry.io/otel 1.40.0->1.41.0 + go.opentelemetry.io/otel/sdk 1.39.0->1.43.0
- バージョン 20260504.01 から
* 29.2.0 に github.com/docker/cli を更新します(#962)
- バージョン 20260504.00 から
* github.com/opencontainers/selinux を更新します(#960)
- バージョン 20260428.00 への更新
* agentendpoint/agentendpoint.go のユニットテストを追加/改善します(#930)
- バージョン 20260427.03 から
* config/file.go をユニットテストでカバーします(#935)
- バージョン 20260422.01 から
* patch_linux.go をユニットテストでカバーします(#932)
- バージョン 20260422.00 から
* メインパッケージの grpc パッケージと e2e テストをアップグレード(#959)(bsc#1260264、 CVE-2026-33186)
- バージョン 20260417.04 から
* OSV-Scalibr バージョンを v0.4.3(#956)に更新します
- バージョン 20260417.03 から
* updates_linux.go の単体テストを追加します(#937)
- バージョン 20260417.02 から
* CreateDisk ステップにゾーンを追加します(#955)
- バージョン 20260417.01 から
* deb11 のディスクタイプを変更(#954)
- バージョン 20260417.00 から
* policies/apt.go のユニットテストを追加します パート 1 (#950)
- バージョン 20260410.02 から
* packages/pty_linux.go の単体テストを追加します(#943)
- バージョン 20260410.01 から
* ARM ワークフローのディスクタイプを修正します(#948)
- バージョン 20260410.00 から
* arm ベースのワークフローのマシンタイプを変更(#946)
- バージョン 20260330.00 への更新
* すべてのワークフローのタイムアウトを更新します(#940)
- バージョン 20260326.00 から
* exec_resource.go をユニットテストでカバーします(#934)
- バージョン 20260318.00 から
* OSConfig エージェントを ReportVmInventory と統合します(#923)
- バージョン 20260313.02 から
* yum アップグレードから cacheonly フラグを削除します(#924)
- バージョン 20260313.01 から
* 条件:python バージョンオーバーライド(#927)
- バージョン 20260313.00 から
* rpm ベースのシステムに対して python バージョンを明示的に設定することによる事前送信を修正します(#926)
- バージョン 20260311.00 から
* osconfig バージョンを更新します(#922)
- バージョン 20260309.02 から
* OSV scalibr エクストラクタを拡張します(#921)
- バージョン 20260309.01 から
* golang.org/x/crypto をアップグレードし、推移的な deps(#918)
- バージョン 20260309.00 から
* pkg 情報に purl を追加します(#920)
- バージョン 20260306.00 から
* PkgInfo に「タイプ」フィールドを追加(#919)
- バージョン 20260303.01 から
* アップグレード go.opentelemetry.io/otel/sdk(#913)
- バージョン 20260303.00 から
* github.com/vbatts/tar-split を 0.11.5 から 0.12.2 へ更新します(#908)
- バージョン 20260302.00 から
* github.com/spdx/tools-golang を 0.5.3 から 0.5.7 へ更新します(#906)
- バージョン 20260126.00 から
* go.opentelemetry.io/otel/sdk を 1.38.0 から 1.39.0 へ更新します(#905)
* github.com/sirupsen/logrus を更新します(#894)
- バージョン 20260119.00 への更新
* cloud.google.com/go/storage を 1.56.0 から 1.58.0 へ更新します(#899)
- バージョン 20251230.00 への更新
* chore:gsutil 使用率を gcloud ストレージに移行します(#904)
- バージョン 20251223.00 から
* レポートインベントリの e2e テストを修正します(#903)
- バージョン 20251222.01 から
* 0.6.3 から 0.7.0 へ cloud.google.com/go/longrunning を元に戻します(#882)(#902)
- バージョン 20251222.00 から
* golang を新しいバージョンに更新します(#900)
- バージョン 20251218.00 から
* 新しい CODEOWNERS(#901) を追加
- バージョン 20251217.00 から
* cloud.google.com/go/longrunning を 0.6.3 から 0.7.0 へ更新します(#882)
- golang コンパイラのバージョンを 1.24.5
- バージョン 20251202.00 への更新
* 0.5.3 から 0.5.5 への github.com/spdx/tools-golang を元に戻します(#887)(#893)
- バージョン 20251201.00 への更新
* github.com/containerd/containerd を元に戻します (#890) (#892)
- バージョン 20251126.00 への更新
* github.com/containerd/containerd を更新します(#890)
* github.com/spdx/tools-golang を 0.5.3 から 0.5.5 へ更新します(#887)
- バージョン 20251028.00 への更新
* go.opentelemetry.io/otel/sdk/metric を 1.35.0 から 1.38.0 へ更新します(#886)
* 1.2.0 から 1.2.1 へ github.com/tidwall/pretty を更新します(#880)
- バージョン 20251023.02 から
* multiple_os.yamlを作成します(#883)
- バージョン 20251023.00 から
* 0.4.0 から 0.6.0 へ github.com/docker/go-connections を更新します(#877)
* e2e テスト用のテストランナーを追加します(#876)
- バージョン 20250925.00 への更新
* cloud.google.com/go/auth/oauth2adapt を 0.2.7 から 0.2.8 へ更新します(#870)
* google.golang.org/protobuf を 1.36.6 から 1.36.9 へ更新します(#874)
* go.opentelemetry.io/otel を 1.35.0 から 1.38.0 へ更新します(#872)
* 1.2.4 から 1.2.5 へ github.com/golang/glog を更新します(#830)
- バージョン 20250902.01 への更新
* github.com/googleapis/enterprise-certificate-proxy を更新します(#829)
- バージョン 20250902.00 から
* 更新 github.com/go-jose/go-jose/v4(#869)
* scalibr およびその他の deps をアップグレードします(#866)
- バージョン 20250901.00 から
* zip および tar アーカイブのパストラバーサルの可能性を修正します(#868)
- バージョン 20250825.00 から
* CODEOWNERS ファイルを組織によって必要とされるように設定します(#863)
- バージョン 20250819.00 から
* Fix/rhel10 build centos イメージ(#860)
- バージョン 20250814.00 から
* Fix/rhel10 ビルドイメージ(#859)
- バージョン 20250813.00 から
* 修正:RPM 起動スクリプトに RHEL 10 サポートを追加します(#858)
- バージョン 20250811.00 から
* イメージが廃止予定のため、old/sles-15-sp4-sap を削除します(#857)
- バージョン 20250806.00 への更新
* ユニバーサルドメインの JSON 識別子を修正しました(#855)
- バージョン 20250729.00 から
* github.com/google/s2a-go を 0.1.8 から 0.1.9 へ更新します(#828)
- バージョン 20250725.02 から
* utils.go を更新します(#854)
* golang.org/x/oauth2 パッケージを最新のものにアップグレードしてください。(#853)
* golang.org/x/time を 0.9.0 から 0.12.0 へ更新します(#839)
- バージョン 20250725.01 から
* golang.org/x/oauth2 を更新します(#848)
* debian 11 の修正を goo パッケージマネージャーにポートします。(#852)
- バージョン 20250725.00 から
* common.sh の Golang バージョンを更新し、debian 11 用のバックポートリポジトリをスキップします(#850)
- バージョン 20250723.01 から
* el10 用パッケージを構築するためのワークフローを追加します(#849)
- バージョン 20250721.00 から
* OS 構成エージェントに TPC を意識させます(#846)
- バージョン 20250718.00 から
* 新しい Debian 13 用のワークフローを作成します。(#847)
- バージョン 20250703.00 への更新
* SLES イメージを修正します(#844)
- バージョン 20250702.00 から
* rhel-sap 8-4 を削除し、rhel-sap 8-10 を追加します(#843)
- バージョン 20250701.00 から
* 2 つの更新で 1 つのディレクトリにまたがって go_modules グループを更新(#840)
- バージョン 20250606.00 への更新
* ベース docker イメージを Google の公式ベースイメージに変更します。(#838)
- バージョン 20250523.01 への更新
* ユーザーテスト用の単純な no-op OS ポリシーを追加します(#837)
- バージョン 20250523.00 から
* dpkg/rpm/cos os/ファイルシステム抽出器用の scalibr インベントリ抽出器を導入(Linux)(#834)
* GetInstalledPackages メモリレベルを追跡します(#835)
- バージョン 20250520.00 から
- バージョン 20250513.00 への更新
* rpm エクストラクタを修正し、(なし)値を適切に処理します。(#833)
- バージョン 20250512.01 から
* github.com/envoyproxy/go-control-plane を 0.13.1 から 0.13.4 へ更新します(#816)
- バージョン 20250512.00 から
* Bump golang.org/x/net を 0.39.0 から 0.40.0 (#819) に更新します
- バージョン 20250508.01 から
* osinfo パッケージへの表面リファクタリング(#826)
- バージョン 20250508.00 から
* 依存関係注入によるリファクタリング/インベントリ(#825)
* debian、ubuntu(InstalledDebPackages)スナップショットを追加(#821)
* テストで packages_linux.go ファイルがカバーされます(#824)
* debian(10、11、12)GetPackageUpdates 出力スナップショットを追加します(#822)
- バージョン 20250507.00 から
* InstalledRPMPackages スナップショットテストを追加します(#823)
- バージョン 20250506.02 から
* yum テスト:終了エラーの初期化を単純化します(#820)
- バージョン 20250506.01 から
* gem パッケージマネージャーのテスト範囲を改善します(#818)
- バージョン 20250506.00 から
* go/x/crypto 更新後 0.32.0 -> 0.37.0 (#817)
- バージョン 20250505.01 から
* パッケージパッケージカバレッジを改善します(#814)
* Bump golang.org/x/net を 0.34.0 から 0.39.0 (#807) に更新します
- バージョン 20250505.00 から
* golang.org/x/crypto を 0.32.0 から 0.37.0 へ更新します(#806)
- バージョン 20250430.00 から
* スナップショット YumUpdates(GetPackageUpdates)出力(#813)
- バージョン 20250428.00 から
* スナップショット ZypperPatches、ZypperUpdates(GetPackageUpdates)SLES 12、15 テストデータ出力(#812)
- バージョン 20250423.00 から
* MatchSnapshot の大きなテスト結果の matcher 関数、スナップショット apt-deb GetPackageUpdates を導入します(#811)
- バージョン 20250416.02 から
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける google-osconfig-agent パッケージを更新してください。参考資料
https://bugzilla.suse.com/1210938
https://bugzilla.suse.com/1251453
https://bugzilla.suse.com/1251704
https://bugzilla.suse.com/1260264
https://bugzilla.suse.com/1262926
https://bugzilla.suse.com/1264923
https://bugzilla.suse.com/1265762
https://bugzilla.suse.com/1266171
https://bugzilla.suse.com/1266603
https://www.suse.com/security/cve/CVE-2023-45288
https://www.suse.com/security/cve/CVE-2025-22868
https://www.suse.com/security/cve/CVE-2025-47911
https://www.suse.com/security/cve/CVE-2025-58190
https://www.suse.com/security/cve/CVE-2026-33186
https://www.suse.com/security/cve/CVE-2026-33814
https://www.suse.com/security/cve/CVE-2026-34986
https://www.suse.com/security/cve/CVE-2026-39821
https://www.suse.com/security/cve/CVE-2026-39827
https://www.suse.com/security/cve/CVE-2026-39828
https://www.suse.com/security/cve/CVE-2026-39829
https://www.suse.com/security/cve/CVE-2026-39830
https://www.suse.com/security/cve/CVE-2026-39831
https://www.suse.com/security/cve/CVE-2026-39832
https://www.suse.com/security/cve/CVE-2026-39833
https://www.suse.com/security/cve/CVE-2026-39834
https://www.suse.com/security/cve/CVE-2026-39835
https://www.suse.com/security/cve/CVE-2026-41506
https://www.suse.com/security/cve/CVE-2026-42508
https://www.suse.com/security/cve/CVE-2026-46595
プラグインの詳細
深刻度: High
ID: 325024
ファイル名: openSUSE-2026-21210-1.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/7/3
更新日: 2026/7/9
サポートされているセンサー: Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.3
パーセンタイル: 96.81
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS スコアのソース: CVE-2026-41506
CVSS v3
リスクファクター: High
基本値: 7.4
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:google-osconfig-agent
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/2
脆弱性公開日: 2024/4/3
参照情報
CVE: CVE-2023-45288, CVE-2025-22868, CVE-2025-47911, CVE-2025-58190, CVE-2026-33186, CVE-2026-33814, CVE-2026-34986, CVE-2026-39821, CVE-2026-39827, CVE-2026-39828, CVE-2026-39829, CVE-2026-39830, CVE-2026-39831, CVE-2026-39832, CVE-2026-39833, CVE-2026-39834, CVE-2026-39835, CVE-2026-41506, CVE-2026-42508, CVE-2026-46595, CVE-2026-46597, CVE-2026-46598