リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21809-1 アドバイザリで言及されています。

    バージョン 3.21.1 への更新:

    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277949)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276644)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-63308:テンプレートチャートファイルで長さゼロのバイトスライスを処理すると、インデックスの範囲外パニックが発生する可能性があります(bsc#1272402)。
    - CVE-2026-84303:github.com/grpc/grpc-go:xDS RBAC HTTPフィルター実装の問題により、大文字小文字混合または正規大文字小文字のヘッダー一致により承認ポリシーをバイパスすることが可能です(bsc#1278270)。
    - CVE-2026-84304:github.com/grpc/grpc-go:HTTP/2 DATA フレームの断片化によるヒープメモリの枯渇(bsc#1278273)。
    - CVE-2026-84445:google.golang.org/grpc:gRPC-Go xDS サーバーに「:authority」および「Host」ヘッダーがないことによるクラッシュによる DoS(bsc#1278688)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16:helm / helm-bash-completion / helm-fish-completion / etc(openSUSE-SU-2026:21809-1)

high Nessus プラグイン ID 344664

バージョン 1.1