openSUSE 16:cockpit / cockpit-bridge / cockpit-devel / cockpit-firewalld / etc(openSUSE-SU-2026:21399-1)
critical Nessus プラグイン ID 329307
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティ アップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21399-1 アドバイザリで言及されています。セキュリティの問題を修正:
- CVE-2025-13465:lodash:_.unset 関数と _.omit 関数のプロトタイプ汚染により、グローバルプロトタイプからメソッドが削除される可能性があります(bsc#1257325)。
- CVE-2026-4631:コマンドライン引数SSH注入により、認証なしにリモートコードが実行される可能性があります(bsc#1261829)。
- CVE-2026-25547:ブレース拡張:ブレースの範囲が際限なく拡張されると、CPUとメモリが過剰に消費され、Node.jsプロセスがクラッシュする可能性があります(bsc#1257836 bsc#1257838 bsc#1257840)。
- CVE-2026-26996:minimatch:glob パターンに多数の連続したワイルドカードがテスト文字列(bsc#1258637 bsc#1258640 bsc#1258641)に表示されない文字が続く場合の ReDoS。
- CVE-2026-27904:minimatch:ネスト化された *() extglob により、指数関数的なバックトラッキングの複雑さと ReDoS(bsc#1259010 bsc#1259013 bsc#1259015)を伴う正規表現が生成される可能性があります。
修正された非セキュリティ問題：
- cockpit webUI - 「Software updates - install all updates(ソフトウェア更新 - すべての更新をインストールします)」で、予期しない内部エラーが発生しました(bsc#1259210)。
- cockpit-machines は、libvirt デーモンがないため、すぐには動作しません(bsc#1236149)。
コックピットの変更:
- 364 に更新します。
- 361 への更新(jsc#PED-15706/jsc#CPT-183):
* Anaconda モードのすべてのマウントアクションを削除します
* 依存関係の更新
- 360 への更新:
* ws:CLI でホスト名を処理する際に、より明示的になります bsc#1261829/CVE-2026-4631
* ws:カスタムログインページのローディングをサポートします
- 358 への更新:
* ネットワーキング:Wi-Fi サポートを追加
* cockpit クライアントが GTK 4 に更新されました
* バグ修正と変換の更新
- 357 に更新してください:
* lib:シフト時にブラウザのコンテキストメニューを使用
* bridge:古いカーネルで Python 3.14 をサポートします(RHEL 8)
- 356 への更新:
* systemd:Cockpit が作成したタイマーの編集を許可します
* ライセンスヘッダーを SPDX 形式に変換します
- 355 への更新:
* ws:旧式の pam_cockpit_cert モジュールを削除します
* shell:StartTransientUnit を sudo の代替として追加
cockpit-machines の変更:
- 354 に更新します。
- 352 に更新してください:
- [Add disk] および [Create Volume] ダイアログが改善されました。
- 計画suse_versionバンプで機能するように要件を更新します(jsc#PED-15820)。
- libvirt での明示的な依存関係をドロップします(bsc#1258040、 bsc#1236149)。
- 348 に更新してください:
* 翻訳の更新
* ライセンスヘッダーを SPDX 形式に変換します
* xterm/addon-canvas が xterm/addon-webgl で置き換えられたため、現在は cockpit-devel 356 が必要です
- 347 に更新してください:
* バグ修正と変換の更新
- ppc64le の esbuild を修正(bsc#1257698)。
cockpit-packages の変更:
- バージョン 5 に更新してください:
* トランザクションシステムをサポート
* エラー/成功のメッセージを改善します
* 翻訳の更新
- ppc64 でネイティブランタイムを使用するために esbuild にパッチを適用します(bsc#1257698)。
cockpit-podmanの変更点:
- 128 へ更新します。
- ppc64le の esbuild を修正(bsc#1257698)。
cockpit-repos の変更:
- 4.8 に更新してください。
- ppc64 でネイティブランタイムを使用するために esbuild にパッチを適用します(bsc#1257698)。
cockpit-subscriptions の変更:
- バージョン16.2（bsc#1257033）に更新します。
- ppc64 でネイティブランタイムを使用するために esbuild にパッチを適用します(bsc#1257698)。
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1236149
https://bugzilla.suse.com/1257033
https://bugzilla.suse.com/1257325
https://bugzilla.suse.com/1257698
https://bugzilla.suse.com/1257836
https://bugzilla.suse.com/1257838
https://bugzilla.suse.com/1257840
https://bugzilla.suse.com/1258040
https://bugzilla.suse.com/1258637
https://bugzilla.suse.com/1258640
https://bugzilla.suse.com/1258641
https://bugzilla.suse.com/1259010
https://bugzilla.suse.com/1259013
https://bugzilla.suse.com/1259015
https://bugzilla.suse.com/1259210
https://bugzilla.suse.com/1259774
https://bugzilla.suse.com/1261829
https://www.suse.com/security/cve/CVE-2025-13465
https://www.suse.com/security/cve/CVE-2026-25547
https://www.suse.com/security/cve/CVE-2026-26996
https://www.suse.com/security/cve/CVE-2026-27904
プラグインの詳細
深刻度: Critical
ID: 329307
ファイル名: openSUSE-2026-21399-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/7/24
更新日: 2026/7/24
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.7
パーセンタイル: 99.06
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2025-13465
CVSS v3
リスクファクター: Medium
基本値: 5.3
現状値: 4.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Critical
Base Score: 9.2
Threat Score: 8.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
CVSS スコアのソース: CVE-2026-25547
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:cockpit-bridge, p-cpe:/a:novell:opensuse:cockpit-devel, p-cpe:/a:novell:opensuse:cockpit-firewalld, p-cpe:/a:novell:opensuse:cockpit-kdump, p-cpe:/a:novell:opensuse:cockpit-machines, p-cpe:/a:novell:opensuse:cockpit-networkmanager, p-cpe:/a:novell:opensuse:cockpit-packagekit, p-cpe:/a:novell:opensuse:cockpit-packages, p-cpe:/a:novell:opensuse:cockpit-podman, p-cpe:/a:novell:opensuse:cockpit-repos, p-cpe:/a:novell:opensuse:cockpit-selinux, p-cpe:/a:novell:opensuse:cockpit-storaged, p-cpe:/a:novell:opensuse:cockpit-subscriptions, p-cpe:/a:novell:opensuse:cockpit-system, p-cpe:/a:novell:opensuse:cockpit-ws-selinux, p-cpe:/a:novell:opensuse:cockpit-ws, p-cpe:/a:novell:opensuse:cockpit
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/21
脆弱性公開日: 2026/1/21
参照情報
CVE: CVE-2025-13465, CVE-2026-25547, CVE-2026-26996, CVE-2026-27904, CVE-2026-4631, CVE-2026-4802