リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21573-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 2.3.14+git0.e23b4c54 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-45784:AES key-wrap-with-padding 暗号と共に使用される場合、「CipherCtxRef::cipher_update_inplace」での出力バッファのサイズが不適切であるため、攻撃者が制御するヒープ破損を引き起こす可能性があります(bsc#1270985)。
    - 攻撃者がコントロールするファイルクエリパラメーターに基づいて Office ドキュメントとして分類された任意の HTTP または HTTPS URL が Electron アプリケーションに転送され、Electron を通じてコードが実行される可能性があります(bsc#1273910)。
    - systemdの動的ユーザー範囲を排除せずに受け入れられたディレクトリ提供の RFC2307 ユーザー識別子により、タスクヘルパー(bsc#1273911)を通じてデーモンのなりすましとコマンドの実行が可能になります。
    - デーモンは、暗号的に検証せず、ローカル認証バイパス(bsc#1273912)を可能にする ID をクレームする Hello PIN 登録リクエストに対して動作します。

    その他の更新およびバグ修正:

    - バージョン 2.3.14+git0.e23b4c54:
      * fix('nss'):ロックされたシャドウエントリを回避
      * fix(「deps」):libhimmelblau ロックファイルを更新します
      * fix(「pam」):アカウント拒否をターミナルにします
      * 「debian」:アカウントフェーズの「pam_allow_groups」拒否ターミナルを作成
    - バージョン 2.3.13:
      * バックポートの「cargo vet」監査を更新します
      * fuzz CI の「cargo-fuzz」インストールを修正します
      * 「貨物獣医」
      * 「ldap3_proto」を 0.7.1
      * 「openssl」を更新します
    - バージョン 2.3.12:
      * 無効な「himmelblau.conf」例の情報を削除します
      * Fedora/RHEL システムでの SSHd 構成のロード順序を修正します
      * 「himmelblau-init-hsm-pin」:「hsm-pin」を PCR7 にバインドしません
      * 「qr-greeter」:GNOME Shell 50 をサポートします
      * 「libhimmelblau」を最新バージョンに更新してください
      * deps('rust'):1 つのディレクトリにまたがって「all-cargo-updates」グループの「tonic」を更新します
      * 「貨物監査」

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16:himmelblau / himmelblau-qr-greeter / himmelblau-sshd-config / etc(openSUSE-SU-2026:21573-1)

medium Nessus プラグイン ID 335485

バージョン 1.1