SUSE SLES15 セキュリティ更新:distribution(SUSE-SU-2026:4212-1)
medium Nessus プラグイン ID 346801
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4212-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。修正されたセキュリティ問題:
- CVE-2026-33186:google.golang.org/grpc:HTTP/2 :p ath pseudo-header(bsc#1260283)の不適切な検証による承認バイパス。
- CVE-2026-33540:認証レルム URL の不適切な検証による情報漏洩(bsc#1261793)。
- CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265788)。
- CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262951)。
- CVE-2026-35172:コンテンツ削除後の古い参照による情報漏洩(bsc#1262096)。
- CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266629)。
- CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、 CVE-2026-39832、CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、 CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:golang.org/x/crypto/ssh:複数の問題(bsc#1268884)。
- CVE-2026-41888:タグの削除により storage.delete.enabled 構成がバイパスされます(bsc#1265429)。
- CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272132)。
配布に関する変更:
3.1.1 に更新:
* PurgeUploads Walk コールバックでファイルのベース名を境界チェックします
* S3 ストレージドライバーに S3 Express One Zone サポートを追加します
* プロキシモードにおけるタグリストエンドポイントを修正します
* 400 を返す代わりに、プロキシモードでサイズが大きすぎる「n」クエリパラメーターをクランプします
* 変更の完全なリストについては、下記の変更ログ全体を参照してください。
* internal/client/auth/challenge:クリーンアップおよびマイナーリファクタリング
* build(deps):1 ディレクトリにまたがる go_modules グループで、go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploghttp 0.18.0 から 0.19.0 にバージョンを上げます
* build(deps):1 つのディレクトリにまたがる go_modules グループで、 1.42.0 から 1.43.0 に go.opentelemetry.io/otel/exporters/otlp/otl ptrace/otlptracehttp をバージョンアップします
* build(deps):github/codeql-action を 4.34.1 から 4.35.1
* chore(build):go バージョンを最新に更新します
* リファクタリング:スライスを使用します。コードを単純化するための後方
* fix(proxy):プロキシモードでのタグリストエンドポイントを修正します
* deploying.md の docker-compose 構造を更新します
* build(deps):アクション/アップロードアーティファクトを 7.0.0 から 7.0.1
* build(deps):actions/upload-pages-artifact を 4.0.0 から 5.0.0
* build(deps):docker/login-action を 4.0.0 から へ更新します 4.1.0
* build(deps):docker/bake-action を 7.0.0 から 7.1.0
* 修正(プロキシ):代わりにオーバーサイズの n クエリパラメーターをクランプします
* feat(s3):Express Zone One サポートを S3 ドライバーに追加
* fix(storage):PurgeUploads Walk コールバックでファイルの basename を境界チェックします
* chore(release):v3.1.1 リリースの準備
* タグページネーションのサポートを追加します
* Azure ストレージプロバイダーのデフォルトの認証情報を修正
* go1.23 および go1.24 のサポートをドロップし、go1.25 に更新します
* docs:新しいイメージタグ v3 を参照するために更新します
* Azure ストレージプロバイダーのdefault_credentialsを修正します
* chore:関数コメントを関数名と一致させます
* build(deps):1 つのディレクトリにまたがる go_modules グループで、golang.org/x/net を 0.37.0 から 0.38.0 に更新します
* 修正:Ed25519 公開鍵の JWK 拇印を実装します
* 修正:validation.indexes 構成ドキュメントからのコードブロックに注釈をつける
* feat:redis 構成を抽出して構造体を分離します
* 修正:追加しない書き込みに一時ファイルを使用することで #4478 される問題を解決します
* build(deps):ossf/scorecard-action を 2.4.1 から へ更新します 2.4.2
* docs:「OTEL_TRACES_EXPORTER」に関する注記を追加
* 修正:デフォルトで OTEL トレースを無効に設定
* docs の OTEL トレースリンクに対するマークダウン構文を修正します
* UUID を UUIDv7 に切り替えます
* リファクタリング:マップ反復をマップに置き換えます。コピー/クローン
* s3-aws:386 のビルドを修正します
* docs:クイックスタート docs に OpenTelemetry リンクを追加
* S3 ドライバーのログレベルパラメーターを修正します
* TestSchedule テストのデータ競合を修正しました
* #4683 を修正 - ecdsa キーの拇印に Gx/Gy ではなく X/Y を使用
* build(deps):アクション/チェックアウトを 4 から 5 に更新します
* Docker Hub フェアユースポリシーへの壊れたリンクを修正します
* 修正(レジストリ/ハンドラー/アプリ):redis CA
* build(deps):アクション/ラベラーを 5 から 6 へ更新します
* build(deps):actions/setup-go を 5 から 6 へ更新します
* build(deps):actions/upload-pages-artifact を 3 から 4 へ更新します
* build(deps):ossf/scorecard-action を 2.4.2 から へ更新します 2.4.3
* build(deps):github/codeql-action を 3.26.5 から 4.30.7
* build(deps):github/codeql-action を 4.30.7 から 4.30.8
* chore:labeler:内部/クライアント/** 用エリア/クライアントマッピングを追加
* client:Accept ヘッダーを Exists() HEAD に追加
* feat(registry):緩やかなシャットダウンテストを堅牢にします
* fix(registry):Upstream チャレンジに対するログフォーマットを修正します
* build(deps):github/codeql-action を 4.30.8 から 4.30.9
* build(deps):github/codeql-action を 4.30.9 から 4.31.3
* リファクタリング:for ループの冗長変数宣言を削除
* redis 削除ポリシーに関する「should」->「must」
* build(deps):アクション/チェックアウトを 5 から 6 へ更新します
* 間違った警告ヒント
* オブジェクトをリストする際の戻りエラーを追加します
* build(deps):アクション/チェックアウトを 5.0.1 から 6.0.0
* build(deps):peter-evans/dockerhub-description を 4 から 5 へ更新します
* 修正:マニフェスト HEAD リクエストのログ回帰
* ブール解析ユーティリティを追加
* S3 に対して「useFIPSEndpoint」を漏洩します
* Cloudfleet Container Registry を採用者に追加
* fix(ci):破損した Azure e2e ストレージテストを修正
* バグ:メディアタイプが空のときにアクションと機能するように通知フィルタリングを修正します
* build(deps):アクション/チェックアウトを 6.0.0 から 6.0.1
* build(deps):アクション/アップロードアーティファクトを 4.6.2 から 6.0.0
* build(deps):github/codeql-action を 4.31.3 から 4.31.10
* build(deps):github/codeql-action を 4.31.10 から 4.32.2
* build(deps):アクション/チェックアウトを 6.0.1 から 6.0.2
* golangci-lint を v2.9 に更新し、linting の問題を修正します
* go1.25.7、alpine 3.23、xx v1.9.0 に更新してください
* ベンダー:github.com/sirupsen/logrus v1.9.4
* ベンダー:golang.org/x/* 依存関係の更新
* ベンダー:github.com/docker/docker-credential-helpers v0.9.5
* ベンダー:github.com/opencontainers/image-spec v1.1.1
* ベンダー:github.com/klauspost/compress v1.18.4
* 修正:ハードコードされたサービス名よりも otel 変数を優先
* ベンダー:github.com/spf13/cobra v1.10.2
* ベンダー:github.com/bshuster-repo/logrus-logstash-hook v1.1.0
* 修正:parent dir を同期して、データが確実に保存されるようにします
* コードを近代化
* ベンダー:github.com/docker/go-events 605354379745
* ベンダー:github.com/go-jose/go-jose/v4 v4.1.3
* build(deps):github/codeql-action を 4.32.2 から 4.32.5
* build(deps): docker/login-action を 3 から 4 にバージョンアップ
* build(deps):アクション/アップロードアーティファクトを 6.0.0 から 7.0.0
* build(deps): docker/setup-buildx-action を 3 から 4 にバージョンアップ
* build(deps):docker/bake-action を 6 から 7 に更新します
* build(deps): docker/metadata-action を 5 から 6 にバージョンアップ
* 修正:「proxyingRegistry.Close()」の nil-check スケジューラ
* 修正:「putContent」での最初の「書き込み」呼び出しの前に GCS ライターで MD5 を設定します
* docs:プルスルーキャッシュは複数回リモートからプルします
* regionendpoint オプション s3.md 更新します
* chore(deps):Go を CI ワークフローおよび go.mod の最新 1.25 に更新します
* 修正:Ed25519 JWK 拇印「kty」を「OTP」から「OKP」へ修正します
* vacuum.go を更新してください
* オプション:リフェクタータグリストのページネーションサポート(ステージ 1)
* 環境変数を構成で YAML インライン構造体に正しく一致させます
* クライアント証明書なしでRedis TLSを有効にする
* build(deps):actions/deploy-pages を 4 から 5 に更新します
* build(deps):github/codeql-action を 4.32.5 から 4.34.1
* 修正(レジストリ/プロキシ):書き込みバッファのフラッシュ時に分離されたコンテキストを使用します
* ci:アクションを固定し、zizmor auto-fixes を適用します
* build(deps):actions/setup-go を 6.3.0 から 6.4.0
* build(deps):1 つのディレクトリにまたがる go_modules グループで、github.com/go-jose/go-jose/v4 を 4.1.3 から 4.1.4 に更新します
* chore(app):部分的な TLS 構成が Redis で使用される場合に警告します
* feat(registry):htpasswd 実装での認証チェックを強化します
* Opt:リファクタリングタグリストのページネーションのサポート
* build(deps):codecov/codecov-action を 5.5.4 から へ更新します 6.0.0
* build(deps):アクション/構成ページを 5.0.0 から 6.0.0
* fix(vendor):修正がベンダー検証を破損させました
* chore(ci):v3.1 リリースの準備
- バージョン 3.1.0 への更新:
* 修正(ベンダー):修正が vendpor 検証を破損させました
* Redis repo スコープの blob 記述子失効を修正します
* proxy:ベアラーレルムを Upstream 信頼境界にバインドします
- 前回の変更後にディレクトリ所有権を復元
- 変更不可モード用に systemd tmpfiles dir の構成ファイルを移動します(jsc#PED-14747)
* distribution-registry.tmpfiles を追加します
* これは「v2.8.3」以来のv3安定版(stable)リリースであり、コンテナコミュニティとレジストリメンテナーの長年の努力の集大成です。
* 「v2.x」からアップグレードする場合で、どのリリース候補も使用したことがない場合は、「v2.x」の廃止についてよく理解してください。
* OSS および Swift ストレージドライバーはサポートされなくなりました
* https://github.com/distribution/distribution/pull/4096* の「docker/libtrust」が「go-jose/go-jose」に置換されました。デフォルトの構成パスが「/etc/distribution/config.yml」に変更された https://github.com/distribution/distribution/pull/4126* 「client」はスタンドアロンパッケージとしてサポートされなくなりました。
* 3886 の「ManifestBuilder」インターフェイス
* 'マニフェスト。「バージョン化」は廃止され、「oci.3887 のバージョン管理済み」
* 「参照」パッケージが github.com/distribution/reference に移動しました https://github.com/distribution/distribution/pull/4063
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける distribution-registry パッケージを更新してください。参考資料
https://bugzilla.suse.com/1259718
https://bugzilla.suse.com/1260283
https://bugzilla.suse.com/1261793
https://bugzilla.suse.com/1262096
https://bugzilla.suse.com/1262951
https://bugzilla.suse.com/1265429
https://bugzilla.suse.com/1265788
https://bugzilla.suse.com/1266629
https://bugzilla.suse.com/1268884
https://bugzilla.suse.com/1272132
https://www.suse.com/security/cve/CVE-2026-33186
https://www.suse.com/security/cve/CVE-2026-33540
https://www.suse.com/security/cve/CVE-2026-33814
https://www.suse.com/security/cve/CVE-2026-34986
https://www.suse.com/security/cve/CVE-2026-35172
https://www.suse.com/security/cve/CVE-2026-39821
https://www.suse.com/security/cve/CVE-2026-39827
https://www.suse.com/security/cve/CVE-2026-39828
https://www.suse.com/security/cve/CVE-2026-39829
https://www.suse.com/security/cve/CVE-2026-39830
https://www.suse.com/security/cve/CVE-2026-39831
https://www.suse.com/security/cve/CVE-2026-39832
https://www.suse.com/security/cve/CVE-2026-39833
https://www.suse.com/security/cve/CVE-2026-39834
https://www.suse.com/security/cve/CVE-2026-39835
https://www.suse.com/security/cve/CVE-2026-41888
https://www.suse.com/security/cve/CVE-2026-42508
https://www.suse.com/security/cve/CVE-2026-46595
https://www.suse.com/security/cve/CVE-2026-46597
https://www.suse.com/security/cve/CVE-2026-46598
プラグインの詳細
深刻度: Medium
ID: 346801
ファイル名: suse_SU-2026-4212-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/9/17
更新日: 2026/9/17
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5
パーセンタイル: 93.74
CVSS v2
リスクファクター: Medium
基本値: 6.4
現状値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:P
CVSS スコアのソース: CVE-2026-41888
CVSS v3
リスクファクター: Medium
基本値: 6.5
現状値: 5.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Medium
Base Score: 6.3
Threat Score: 2.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:distribution-registry
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/9/16
脆弱性公開日: 2026/3/18
参照情報
CVE: CVE-2026-33186, CVE-2026-33540, CVE-2026-33814, CVE-2026-34986, CVE-2026-35172, CVE-2026-39821, CVE-2026-39827, CVE-2026-39828, CVE-2026-39829, CVE-2026-39830, CVE-2026-39831, CVE-2026-39832, CVE-2026-39833, CVE-2026-39834, CVE-2026-39835, CVE-2026-41888, CVE-2026-42508, CVE-2026-46595, CVE-2026-46597, CVE-2026-46598, CVE-2026-56852
SuSE: SUSE-SU-2026:4212-1