リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21497-1 アドバイザリで言及されています。

    perl-YAML-Syck の変更:

    - 1.470.0 に更新しました(1.47)[セキュリティ]
        - 特別なフラグのない信頼できない入力のデフォルトの YAML::Syck::Load() パスから到達可能な 4 つの libsyck メモリ安全性 CVE を修正します(Paul Johnson 氏による CPANSec、PR #213 経由の報告):
          - CVE-2026-57075 (CWE-125):!! 上のデコードテーブルの符号付き文字インデックスにより発生する、base64 デコーダーでの領域外読み取りバイナリ入力 bsc#1271632
          - CVE-2026-57076 (CWE-416):ノードとアンカーテーブルの間で共有されるアンカーキー文字列の use-after-free bsc#1271633
          - CVE-2026-57077 (CWE-125):ブロックスカラー解析中における lexer 改行スキャンの 1 バイトの領域外読み取り( CVE-2025-11683 の不完全な修正のフォローオン) bsc#1271634
          - CVE-2026-13713 (CWE-416/CWE-415):アンカー再定義でのアンカーノードの use-after-free/二重解放、7 バイト入力からのリモートクラッシュ DoS bsc#1271631
        - syck_base64dec() を強化して各読み取りの境界チェックを行い、NUL 終端しない入力バッファを通り越すことがないようにします(生バッファを渡す呼び出し元に対する多層防御、PR #213) [バグ修正]
        - 修正:ロード時に $MaxDepth を強制し、深くネスト化された YAML/JSON 入力による C-stack の枯渇を防ぎます。YAML::Syck および JSON::Syck Load は、デフォルトで 512 となり、ダンプと一致するようになりました(PR #204)
        - 修正:ダンプの中の NaN/Inf 値に対して YAML 正規フォーム(.nan、.inf、-.inf)を放出し、平文文字列としてリロードする代わりに ImplicitTyping でラウンドトリップします(PR #201)[メンテナンス]
        - CI:で XS を構築する AddressSanitizer ジョブを追加します
          -fsanitize=address そして、パッケージと CVE トリガー入力を実行して、libsyck のメモリ安全性の不具合をキャッチします。ランナーの GCC を追跡するように libasan バージョンのピンを解除します(PR #213)

    - 1.460.0 に更新(1.46)[バグ修正]
        - 修正:ダンプで数値を表示する値の文字列の性質を保持します。純粋な文字列(POK のみ、IOK/NOK なし)は、ラウンドトリップの忠実度を維持するために引用符で囲まれるようになりました(GH #199、PR #200)
        - 修正:フローシーケンスとマッピング([a、b、] および {a: 1,})で末尾のコンマを受け入れます。これは YAML 1.0/1.1/1.2 仕様(GH #195、PR #196)に従って有効です

        【メンテナンス】
        - CI:perldocker コンテナの 5.24 より前の Perl バージョンとの互換性を確保するために、install-with-cpm を v2 にアップグレードします(GH #197、PR #198)
        - MANIFEST をクリーンアップします。SKIP:#!include_default を追加し、冗長エントリを削除し、.claude/ をディストリビューションから除外します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16 セキュリティ更新:perl-YAML-Syck(openSUSE-SU-2026:21497-1)

critical Nessus プラグイン ID 331560

バージョン 1.1