SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:4210-1)
medium Nessus プラグイン ID 346794
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4210-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- CVE-2026-1229:github.com/cloudflare/circl:ecc/p384 パッケージの CombinedMult 関数は、特定の入力に対して不適切な値を生成します(bsc#1265542)。
- CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265845)。
- CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
- CVE-2026-41506: github.com/go-git/go-git/v5: スマート HTTP の複製とフェッチの操作でリダイレクトを追跡した際に発生する HTTP 認証情報の漏洩 (bsc#1264949)。
- CVE-2026-41606:github.com/apache/thrift:c_glib ディスパッチにおける細工されたネストメッセージにより、制御されない再帰およびサービス拒否(bsc#1263324)が発生する可能性があります。
- CVE-2026-41607:github.com/apache/thrift:不適切な長さ検証で細工されたメッセージが、領域外読み取りおよび情報漏洩につながる可能性があります(bsc#1263289)。
合金の変更:
- バージョン 1.18.0 への更新:
* 速報:otelcol HTTP レシーバーは、デフォルトで idle_timeout='1m'、read_header_timeout='1m'、write_timeout='30s' にして Upstream と一致させます。otlp、faro、jaeger、zipkin、influxdb、splunkhec、datadog、jaeger_remote_samplingに影響します。
* 永続的なエラーに関する使用率レポートをバックオフ
* Beyla glob の解析を修正します
* XFS コレクター修正の github.com/prometheus/procfs を更新します
* database_observability.mysql:拒否リストのメモリ内マップを簡略化
* database_observability.postgres:Unix ソケットで DSN を処理します
* database_observability.postgres:コレクト間隔を更新します
* database_observability:Explain-plan 条件が編集されるようになりました
* remotecfg が使用されていない場合、エラーログを出力しません
* 変更内容の完全なリストについては、次の変更ログを参照してください:
https://github.com/grafana/alloy/blob/v1.18.0/CHANGELOG.md
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける alloy パッケージを更新してください。参考資料
https://bugzilla.suse.com/1263289
https://bugzilla.suse.com/1263324
https://bugzilla.suse.com/1264949
https://bugzilla.suse.com/1265542
https://bugzilla.suse.com/1265845
https://bugzilla.suse.com/1266654
https://www.suse.com/security/cve/CVE-2026-10722
https://www.suse.com/security/cve/CVE-2026-1229
https://www.suse.com/security/cve/CVE-2026-33814
https://www.suse.com/security/cve/CVE-2026-39821
https://www.suse.com/security/cve/CVE-2026-41506
https://www.suse.com/security/cve/CVE-2026-41606
プラグインの詳細
深刻度: Medium
ID: 346794
ファイル名: suse_SU-2026-4210-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/9/17
更新日: 2026/9/17
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.12
CVSS v2
リスクファクター: Low
基本値: 1.7
現状値: 1.3
ベクトル: CVSS2#AV:L/AC:L/Au:S/C:N/I:N/A:P
CVSS スコアのソース: CVE-2026-10722
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2026-1229
CVSS v4
リスクファクター: Medium
Base Score: 6.3
Threat Score: 2.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L
CVSS スコアのソース: CVE-2026-1229
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:alloy
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/9/16
脆弱性公開日: 2026/2/24
参照情報
CVE: CVE-2026-10722, CVE-2026-1229, CVE-2026-33814, CVE-2026-39821, CVE-2026-41506, CVE-2026-41606, CVE-2026-41607
SuSE: SUSE-SU-2026:4210-1