openSUSE 16:weechat / weechat-devel / weechat-lang / weechat-lua / weechat-perl / など(openSUSE-SU-2026:21615-1)
high Nessus プラグイン ID 339034
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティ アップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21615-1 アドバイザリで言及されています。weechat の変更:
- 4.10.0 への更新:
追加
* コア:コマンド/テーマを追加(#1338)
* core:ビルトインライトテーマを追加し、ライトバックグラウンドターミナルでの最初の起動時に自動的に適用されます(#1338)
* core:構成オプションにテーマ可能フラグを追加(#1338)
* コア:weechat.look.theme オプションと weechat.look.theme_backup を追加します(#1338)
* api:関数theme_registerを追加(#1338)
* fset:フィルター t:themable を追加(#1338)
* relay/api:リソース GET /api/scripts を追加します
* リレー:オプション relay.network.unix_socket_permissions を追加(#2317)
* スクリプト:情報script_languagesを追加
変更済み
* コア:多数のバッファと行で /upgrade の速度を改善します(#2338、 #2339、 #2341)
* コア:チャットエリアでの長い単語の表示速度を改善します(#2336)
* コア:オプションweechat.look.hotlist_add_conditionsのデフォルト値で、接続されているリレー API クライアントで条件を追加します
* コア:Alt+= キーのデフォルトコマンドに /mute を追加(フィルターを切り替えます)
* api:パラメーター pos_option_nameのタイプを関数 config_search_with_string で const char ** に変更します
* relay/api:GET /api/buffers にフィールドlast_read_line_idを追加
修正済み
* コア:オプション weechat.look.read_marker_string が幅ゼロの文字列に設定された場合の無限ループを修正(#2337)
* コア:16+ 色の端末で色が白の場合にオプションweechat.look.color_real_whiteが適用されない問題を修正します(#1742)
* コア:SOCKS5 プロキシに関連するバッファオーバーフローを修正します(#2325)
* API:検索文字列が空のときの関数 string_replace の無限ループを修正します
* api:関数string_dyn_concatのエラー時に動的文字列を解放しません
* irc:チャネルに参加する際の名前のリストでメッセージのタグを修正
* fset:表示された最後のオプションの下でマウスをクリックしたときにコアバッファに表示されるエラーを削除します
* guile、lua、perl、python、ruby、tcl:API 関数の日付の変換を修正します
* irc:受信メッセージの日付の変換を修正
セキュリティ
* コア:カスタムの時間形式によるチャット領域の時間表示におけるバッファオーバーフローを修正(#2342)
* コア:${hide:...} および ${base_encode:...} を評価する際のサイズ計算における整数オーバーフローを修正(#2335)
* core:コマンド /color alias の潜在的なバッファオーバーフローを修正します(#2330)
* core:/help によって表示されるコマンドのリストにおける潜在的なバッファオーバーフローを修正します(#2330)
* irc:バッチ処理されたメッセージがサーバーからの切断を引き起こす際のヒープ use-after-free を修正します(GHSA-rfmh-3r7f-jpx5)
* irc:チャネルとキーの大きなリストを持つ JOIN メッセージを分割する際のスタックバッファオーバーフローを修正(GHSA-q2xg-9ggx-77mr)
* IRC:メモリ消費を防ぐためにサーバーから受信するデータのサイズを制限
* irc:メッセージを締めくくる引用符付きのファイル名のある着信 DCC コマンドの領域外読み取りを修正します(#2322)
* logger:バッファローカル変数にディレクトリセパレータを保護するために内部で使用される文字が含まれる場合に、ログファイル名のパストラバーサルを修正します(#2340)
* リレー:リモートバッファで use-after-free と二重解放を修正します(GHSA-hx59-4hq9-6vmw)
* リレー:プレーンパスワードハッシュアルゴリズムによる認証バイパスを修正します(GHSA-68ff-gq39-pqjm)
* リレー:メモリ枯渇を防ぐために permessage-deflate で展開された websocket フレームのサイズを制限します(GHSA-v2v4-45wm-5cr3、 CVE-2026-53524)
* relay:メモリの枯渇を防ぐために受信した websocket フレームと HTTP 本文のサイズを制限
* リレー:メモリ消費を回避するために HTTP リクエストの読み込み中に受信する部分的なメッセージのサイズを制限
* relay:パスワード認証のタイミング攻撃を修正します(GHSA-vhv8-g2r9-cwcc、 CVE-2026-53525)
* リレー:データダンプの領域外読み取りを修正します(#2324)
* relay/api:リソースハンドシェイク、入力、完了におけるメモリ漏洩を修正します(GHSA-wmpc-m6g9-fwj8)
* relay:非圧縮 websocket フレームの読み取りを修正します(#2331)
* api、relay:TOTP 検証のタイミング攻撃を修正します(GHSA-vhv8-g2r9-cwcc、 CVE-2026-53525)
* xfer:リモート nick のディレクトリ区切り文字を、ダウンロードファイル名のアンダースコアで置き換え、ダウンロードディレクトリ外でのファイル書き込みを防止します(#2321)
* xfer:DCC チャットで空行を受信する際の領域外読み取りを修正(#2323)
* xfer:xfer ファイル転送再開での領域外書き込みを修正します(#2326)
- 4.9.5 への更新:
* コア:カスタムの時間形式によるチャット領域の時間表示におけるバッファオーバーフローを修正(#2342)
* irc:バッチ処理されたメッセージがサーバーからの切断を引き起こす際のヒープ use-after-free を修正します(GHSA-rfmh-3r7f-jpx5)
* irc:チャネルとキーの大きなリストを持つ JOIN メッセージを分割する際のスタックバッファオーバーフローを修正(GHSA-q2xg-9ggx-77mr)
* リレー:リモートバッファで use-after-free と二重解放を修正します(GHSA-hx59-4hq9-6vmw)
* リレー:展開された websocket フレームの最大サイズを増やします
- 4.9.4 への更新:
変更済み
* コア:チャットエリアでの長い単語の表示速度を改善します(#2336)
修正済み
* コア:オプション weechat.look.read_marker_string が幅ゼロの文字列に設定された場合の無限ループを修正(#2337)
* コア:${hide:...} および ${base_encode:...} を評価する際のサイズ計算における整数オーバーフローを修正(#2335)
* logger:バッファローカル変数にディレクトリセパレータを保護するために内部で使用される文字が含まれる場合に、ログファイル名のパストラバーサルを修正します(#2340)
* リレー:プレーンパスワードハッシュアルゴリズムによる認証バイパスを修正します(GHSA-68ff-gq39-pqjm)
- 4.9.3 への更新:
* コア:SOCKS5 プロキシに関連するバッファオーバーフローを修正します(#2325)
* core:コマンド /color alias の潜在的なバッファオーバーフローを修正します(#2330)
* core:/help によって表示されるコマンドのリストにおける潜在的なバッファオーバーフローを修正します(#2330)
* api:関数string_dyn_concatのエラー時に動的文字列を解放しません
* relay/api:リソースハンドシェイク、入力、完了におけるメモリ漏洩を修正します(GHSA-wmpc-m6g9-fwj8)
* relay:非圧縮 websocket フレームの読み取りを修正します(#2331)
* xfer:xfer ファイル転送再開での領域外書き込みを修正します(#2326)
- 4.9.2 への更新:
* API:検索文字列が空のときの関数 string_replace の無限ループを修正します
* IRC:メモリ消費を防ぐためにサーバーから受信するデータのサイズを制限
* irc:メッセージを締めくくる引用符付きのファイル名のある着信 DCC コマンドの領域外読み取りを修正します(#2322)
* relay:メモリの枯渇を防ぐために受信した websocket フレームと HTTP 本文のサイズを制限
* リレー:メモリ消費を回避するために HTTP リクエストの読み込み中に受信する部分的なメッセージのサイズを制限
* リレー:データダンプの領域外読み取りを修正します(#2324)
* xfer:リモート nick のディレクトリ区切り文字を、ダウンロードファイル名のアンダースコアで置き換え、ダウンロードディレクトリ外でのファイル書き込みを防止します(#2321)
* xfer:DCC チャットで空行を受信する際の領域外読み取りを修正(#2323)
- 4.9.1 への更新:
* コア:16+ 色の端末で色が白の場合にオプションweechat.look.color_real_whiteが適用されない問題を修正します(#1742)
* irc:チャネルに参加する際の名前のリストでメッセージのタグを修正
* リレー:メモリ枯渇を防ぐために permessage-deflate で展開された websocket フレームのサイズを制限します(GHSA-v2v4-45wm-5cr3)
* リレー:パスワード認証のタイミング攻撃を修正(GHSA-vhv8-g2r9-cwcc)
* api、relay:TOTP 検証でのタイミング攻撃を修正します(GHSA-vhv8-g2r9-cwcc)
- 4.9.0 への更新:
追加
* 入力:オプションtyping.look.item_textを追加(#2305)
修正済み
* コア:コマンドで現在のバッファが閉じられたときの /eval のクラッシュを修正します
* コア:関数 util_parse_time のバッファサイズを修正します。これにより、ユニットテストでバッファオーバーフローエラーが発生します
* irc:echo-message 機能が有効な場合に、同じユーザーに複数回送信される CTCP クエリの表示を修正します(#2309)
* irc:/server listfull の出力において、サーバーオプションの単位anti_floodを秒からミリ秒に修正します
* irc:サーバー名のない irc.msgbuffer オプションの作成を修正
* irc:チャネルがすでに参加している場合、セルフ参加を無視します(#2291)
* リレー/API:リソースの ping および同期におけるメモリリークを修正します
* relay/api:リモート WeeChat からのメッセージ受信時のメモリリークを修正します
- 4.8.2 への更新:
* irc:チャネルがすでに参加している場合、セルフ参加を無視します(#2291)
* リレー/API:リソースの ping および同期におけるメモリリークを修正します
* relay/api:リモート WeeChat からのメッセージ受信時のメモリリークを修正します
- 4.8.1 への更新:
* コア:関数 util_parse_time のバッファサイズを修正します。これにより、ユニットテストでバッファオーバーフローエラーが発生します
* irc:サーバー名のない irc.msgbuffer オプションの作成を修正
- 4.8.0 への更新:
削除済み
* irc:一時サーバーおよびオプションirc.look.temporary_serversを削除します
変更済み
* api:ISO 8601 のような日付のサポートを追加しますが、関数 util_parse_time にスペースと小さい t と z を減らします(#886)
* irc:サーバーがメッセージ CAP NEW で SASL サポートをアドバタイズする際に、SASL 認証をリクエストおよび実行します(#2277)
* irc:メカニズム EXTERNAL で SASL ユーザー名を送信します(#2270)
* logger:デフォルトの時間形式を %@%F %T.%fZ (UTC) に変更します(#886)
* logger:関数 util_parse_time を使用して、ログファイルの日付/時刻を解析します(#886)
* relay/api:URL パラメーターの colors、nicks、lines、lines_free に無効な値がある場合、エラー 400(Bad Request)を返します
* リレー/API:ヘッダー x-weechat-totp に無効な値がある場合、エラー 401(認証なし)を返します
* xfer:DCC CHAT バッファにバッファローカル変数サーバーを追加
* core、irc、relay:gnutls メッセージにタグ tls を追加します
* irc:クライアント機能リクエストにタグ irc_cap および log3 を追加し、SASL はサポートされていないメッセージ
* build:Curl 7.68.0 が必要(#2268)
* build:GnuTLS 3.6.3 が必要(#2268)
* build:libgcrypt 1.8.0 が必要(#2268)
* ビルド:Enchant v2(#2268)が必要
* build:Lua 5.3 が必要(#2268)
追加
* コア:weechat.completion.cycle オプションを追加
* core:フック用の hdata を追加
* api:関数 util_parse_int、util_parse_long、util_parse_longlong を追加します
* buflist:変数 ${index_displayed} を追加
修正済み
* コア:コマンド /bar、/buffer、/cursor、/print、/window に無効なパラメーターがある場合にエラーメッセージを表示します
* API:タイムアウトが発生した場合、または転送中にフックが削除された場合に、hook_url におけるファイル記述子の漏洩を修正します(#2284)
* API:関数 util_parse_time でタイムゾーンオフセットの日付/時刻の解析を修正します
* irc:サーバー名に大文字が含まれているときの irc.msgbuffer オプション作成時の警告を修正します(#2281)
* irc:コマンド /connect および /server の不明または無効なサーバーオプションごとに警告を表示します
* irc:メッセージ 367(マスク禁止)、728(quiet mask)および MODE(#2286)の色を修正します
* irc:コマンド /mode で複数のモードが設定されている場合の色のリセットを修正
* relay/api:無効な HTTP リクエストがクライアントから受信されたときのクラッシュを修正します
* relay/api:リソースの完了および入力でバッファが見つからない場合、400 ではなく HTTP エラー 404 を返します
* relay/api:リソース ping に無効な本文がある場合、HTTP エラー 400 を返します
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 339034
ファイル名: openSUSE-2026-21615-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/8/23
更新日: 2026/8/23
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.3
パーセンタイル: 53.52
CVSS v2
リスクファクター: High
基本値: 7.1
現状値: 5.3
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:N/I:C/A:C
CVSS スコアのソース: CVE-2026-53525
CVSS v3
リスクファクター: High
基本値: 7.4
現状値: 6.4
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:weechat-devel, p-cpe:/a:novell:opensuse:weechat-lang, p-cpe:/a:novell:opensuse:weechat-lua, p-cpe:/a:novell:opensuse:weechat-perl, p-cpe:/a:novell:opensuse:weechat-python, p-cpe:/a:novell:opensuse:weechat-ruby, p-cpe:/a:novell:opensuse:weechat-spell, p-cpe:/a:novell:opensuse:weechat-tcl, p-cpe:/a:novell:opensuse:weechat
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/20
脆弱性公開日: 2026/8/2
参照情報
CVE: CVE-2026-53524, CVE-2026-53525