openSUSE 16 セキュリティ更新:kimi-code(openSUSE-SU-2026:21849-1)
high Nessus プラグイン ID 346189
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21849-1 アドバイザリで言及されています。kimi-code での変更:
バージョン 0.42.0 への更新:
* メインエージェントとサブエージェントからのページ分割された進行状況メッセージを含む実験的な更新パネルを追加し、KIMI_CODE_EXPERIMENTAL_NOTIFY_USER=1 で有効にします
* グローバル検索ワーカーを常にオンにして、サブエージェントモデルプール、リモートコントロールおよび minidb セッションインデックス読み取りモデルを切り替えます。実験的フラグとオプトアウト変数がなくなり、[データベース] セクションで検索の永続性が調整されるようになりました
* タワーワーカーとレビュアーのブリーフィングに完全なミッションコンテキストを提供し、タワーエージェントのサブエージェントタイムアウトに従い、/tasksに各バックグラウンドエージェントのモデルを表示します。
* 最初の 100 件を超えるファイル検索の一致を取得し、Kimi 提供モデルで HEIC、HEIF、および BMP 画像を受け入れ、プロジェクト MCP サーバーが信頼できないフォルダでスキップされたときに kimi -p で警告します
* 構成可能な文字制限と再開可能なロングライン読み込みを伴うファイルの読み取り、警告付きの無効な形式の UTF-16 のデコード、セッション履歴の画像およびビデオのファイル名の保存
* ダッシュボードの修正:削除可能なセッション、並べ替え可能なメディアレール、Ctrl-O で表示される折りたたまれたツール呼び出し、長い会話とセッションのリロードでのジャンクを削減
バージョン 0.41.0 への更新:
* マルチエージェントオーケストレーション用の実験的なタワーモードと、リモートでローカル Web セッションに到達するためのリモートコントロールを追加します
* エージェントが現在のターン内のバックグラウンドタスクを待機できるように WaitFor ツールを追加し、呼び出し元の履歴のスナップショットからサブエージェントを開始するオプションの fork パラメーターを追加しました
* kimi.ai と kimi.com の 2 つの OAuth ログイン方法をサポートし、1 つのプロンプトで複数のスキルをアクティブ化します
* デフォルトですべての起動モードでサブエージェントモデルプールを有効にし、ターンレベルファイル履歴を無条件にします
* [権限] dangerous_command_guardで無効にした、手動および YOLO 権限モードで、シャットダウン前、再起動前、または rm -rf の前に常に尋ねる危険なコマンドガードを追加します。自動モードはブロックしない
* kimi web --allow-remote-terminalsを削除します;PTY 端末ルートは、ループバックバインドでのみ提供されます
* 最初にファイルを読み取るために編集と書き込みを要求し、その読み込み以降にディスク上でファイルが変更されたときに書き込みを拒否
* バンドルされた Web ダッシュボードを修正します:マルチタブの右側サイドバー、Open/Done/Workspaces セッションタブ、プラグインマーケットプレイスパネル、モバイルボトムシート
* ...完全なリストについては、Upstream のリリースノートを参照してください
- ベンダー:ランタイム依存関係の上流が 0.39.0 でのインライン化を停止しました:
* ws、qrcode、qrcode 自身の pngjs および dijkstrajs をソースとして追加し、パッケージのプライベートnode_modulesにインストールします
* npm install を実行する代わりに、npm tarball を直接アンパックします。これにより、レジストリに対する新しい依存関係が解決され、qrcode の CLI 専用の yargs ツリーが引き込まれます
* Provides:bundled(...)
- CVE-2026-48779:大量の小さな WebSocket フラグメントからの ws サービス拒否。古いバンドルでインライン化された ws は、 8.21.0 修正よりも前のものです。ベンダーの ws は 8.21.3 です(boo#1268927)
- CVE-2026-45736:TypedArray を伴う websocket.close() を介した ws の初期化されていないメモリの漏洩、同じ ws バージョンで修正されました(boo#1269951)
- ビルドチェック中にも、コンパイル済みの node-pty アドオンをロードします
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける kimi-code パッケージを更新してください。参考資料
https://bugzilla.suse.com/1268927
https://bugzilla.suse.com/1269951
プラグインの詳細
深刻度: High
ID: 346189
ファイル名: openSUSE-2026-21849-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/9/16
更新日: 2026/9/16
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.72
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS スコアのソース: CVE-2026-45736
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:kimi-code
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/9/14
脆弱性公開日: 2026/5/15
参照情報
CVE: CVE-2026-45736, CVE-2026-48779