リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:4606-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    golang-github-prometheus-prometheus はバージョン 3.13.2 に更新されました:

    - セキュリティ問題:

      * CVE-2026-39821:Punycode ラベル処理における検証バイパスおよび権限昇格を修正しました(bsc#1266608)
      * CVE-2026-56852:unicode/norm 処理における切り捨てられた、または無効な UTF-8 入力における無限ループを修正しました(bsc#1272102)
      * CVE-2026-44990:許可されていない XMP 要素をサニタイズすることによって、新しい React UI に保存された XSS を修正しました(bsc#1275205)
      * CVE-2026-53606:XSS を有効にする可能性がある、sanitize-html の不完全な URI スキーム検証を修正しました(bsc#1269966)
      * CVE-2026-2303:mongo-driver の GSSAPI エラー処理におけるヒープ領域外読み取りを修正(bsc#1269856)
      * CVE-2025-4673:リダイレクトHTTPクライアントヘッダー転送を停止することによる認証情報漏洩を修正しました(bsc#1275206)
      * CVE-2023-45289:HTTP リダイレクトでのヘッダーとクッキーの転送を停止することによる認証情報の漏洩を修正しました(bsc#1275207)
      * CVE-2025-61686:react-router ストレージでの認証されていないファイルアクセスとパストラバーサルを修正しました(bsc#1270711)
      * CVE-2026-40181:react-router での相対パスを介した外部ドメインへのオープンリダイレクトのリスクを修正しました(bsc#1267528)
      * CVE-2026-42342:マニフェストエンドポイントでの際限のないパス拡張による DoS リスクを修正しました(bsc#1267538)
      * CVE-2026-42211:react-router のプロトタイプ汚染によるリモートコードの実行リスクを修正しました(bsc#1267534)
      * CVE-2026-39882:OpenTelemetry における上限なしの HTTP 応答読み取りによるメモリ枯渇を修正しました(bsc#1274221)
      * gRPC 依存関係を更新することで、潜在的なサービス拒否の脆弱性を修正しました
      * 32MB 制限を超える snappy 圧縮リクエストを拒否することで、メモリ枯渇と DoS を修正しました

    - バグの修正と変更:

      * SD 構成が急激に変更されたときに、スクレイプマネージャーが適切にリロードできない問題を修正しました。
      * 受信エンドポイントが利用できない場合、リモート書き込みパスでのメモリリークを防ぎます。
      * ネイティブのヒストグラムは実験的ではありません。これらは、本番環境のワークロードで完全にサポートされています。
      * Prometheus UI 内で OpenTelemetry トレースのサポートを追加し、メトリクスとトレースを関連付けるようになりました。
      * ブロックマージアルゴリズムの改良により最適化された TSDB コンパクション速度。
      * 単一の HTTP/2 接続を使用して、複数のターゲットのスクレイピングを許可し、オーバーヘッドを削減します。
      * ルール評価エンジンの健全性を監視するための新しいメトリクスを追加しました。
      * 互換性なし: これは、スクレイピング、リモート読み取りと書き込み、アラート、および SD に影響します。リダイレクトを回避するためにネットワークパスの調整が必要な場合があります。
      * 非互換性:ルールグループページネーショントークンは、MD5 ではなく SHA-256 を使用するようになりました。カスタム API コンシューマーは、新しい長いトークン形式に適応する必要があります。
      * 結果の数を制限するために「group_limit」パラメーターを PromQL 集計に追加しました。
      * 非互換性:構成ファイルの promtool 相対パスが、現在の作業ディレクトリではなく、構成ディレクトリ自体に対して相対的に解決されるようになりました。
      * 管理 API 経由での TSDB ブロックのクラウドストレージへの直接エクスポートをサポートします。
      * 互換性なし:prometheus_remote_storage_samples_total などの非推奨のリモート書き込みメトリクスが削除され、prometheus_wal_watcher_records_read_total が優先されます。
      * 高カーディナリティ正規表現マッチャーのクエリパフォーマンスが大幅に向上。
      * 特定の時系列データを直接安全に削除するための新しい UI インターフェイスを導入します。
      * 正規表現キャプチャグループを使用して部分文字列を抽出するための動的再ラベルアクションを追加しました。
      * タイムゾーン変更後に間違った時間範囲を表示する UI を修正しました。
      * firewalld-prometheus-config をバージョン 0.2 に更新し、OpenTelemetry を 1.43.0

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 セキュリティ更新プログラム:golang-github-prometheus-prometheus(SUSE-SU-2026:4606-1)

high Nessus プラグイン ID 369278

バージョン 1.1