openSUSE 16 セキュリティ更新:aliyun-cli(openSUSE-SU-2026:22140-1)
high Nessus プラグイン ID 370414
Language:
概要
リモートの openSUSE ホストに、セキュリティ更新プログラムがありません。説明
リモートのopenSUSE 16ホストには、openSUSE- SU-2026:22140-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。aliyun-cli 用のこの更新は、次の問題を修正します:
- CVE-2026-63209:github.com/klauspost/compress:s2 の符号付き整数オーバーフロー。NewDict() により、攻撃者が繰り返しインデックス検証をバイパスし、プロセスをクラッシュさせることができます(bsc#1283596)。
aliyun-cli の変更:
- バージョン 3.5.1 への更新
* バウンドされたページと再開可能なカーソルを備えたオプトインビルトイン OSS JSON/JSONL リスト、リカバリガイダンス付きの構造化エラー、および非対話型の確認処理(#1452)を追加します。
* 単一ファイルのアップロードと単一オブジェクトの削除に対して、オフライン検証と読み取り専用のプランを追加します。cp/sync 用の排他的な JSONL マニフェストで失敗したターゲットを正確に記録し、同期削除フェーズの状態を露出します(#1452)。
* OSS ブリッジを修正し、オプションの順番と「--」を保持し、パーサーとサービスのエラーを伝播し、プロファイル領域/タイムアウト/再試行バジェットを受け渡し、リクエスト時にホストの認証情報を argv に挿入せずにリフレッシュします(#1454)。
* あいまいなトランスポートまたはサーバーの障害後の書き込みの再生を停止します;ジッターバックオフを伴う再試行を分類し、レポートをクローズする前にワーカーを結合し、進捗データの競合と失敗レポートのファイル名の衝突を修正します(#1452)。
* レガシー OSS 操作に対してホスト安全性ポリシーを実施し、未サポートのプレビューの組み合わせを拒否します(#1452、 #1454)。
* ポリシー解析と環境オーバーライドを強化し、無効な構成で終了しないよう。明示的な拒否ルールが、「--force」、「--yes」または AI モードによってバイパスされません。
* ビルトイン拡張ディスパッチ(cliext/safety.go)の前に、安全ポリシーを実施します。
* レガシー FNF リクエスト署名の互換性を製品許可リスト(#1447)に制限します。
* API エイリアスの正規化が戻され、保持されました:エイリアスと PascalCase/kebab-case のスペルは別々のポリシーマッチのままであり、コマンドのスペルは入力されたとおりに一致します。
* バージョン AI モードの OpenAPI および OSS エラーエンベロープが「schemaVersion: v1」になり、構造化されたスタートアップ構成エラーが返されます(#1453)。
*自動AIモードのALIBABA_CLOUD_CLI_AGENT_INTEGRATIONコントロールを追加します。
エージェント検出、ユーザーエージェント属性、Qoder China CLI 検出を拡張 (#1445、 #1455)。
* in-process の OpenAPI コマンドに対して大文字小文字を区別しない製品ルーティングをサポートします(#1445)。
* クエリ可能な製品ヘルプを通じて地域およびVPC製品のエンドポイントを公開します(#1448)。
* キャメルRPCフラット配列(#1456)をサポートし、出力の編集距離よりも製品のプレフィックス/サブストリングの提案を優先します。
* JMESPath をアップグレードし、「json.Number」の権限を持ち、大きな数の比較とソートの精度を維持し、空の配列平均セマンティックを修正します。
* 新しくインストールされたメタデータプラグインを進行中でディスパッチします(#1439)。
* プラグインアーカイブ抽出、パッケージの置換/ロールバック、URL 診断のダウンロードを強化します(#1442)。
* 元のフォームスターのエンコーディングを維持しながら、コンテンツに基づいて JSON とフォーム本文を修正します。未加工で解析できないドライランボディをそのままにしておきます(#1440、 #1449)。
* install.sh のネイティブ macOS アーキテクチャパッケージを選択します(#1433)。
* プレリリースタグを安定した最新ポインターから外し、リリースアセットのダウンロードが不完全なときに閉じられないようにします(#1437)。
* 必須チェックに cliext を含め、クロスプラットフォームテストの失敗(#1446)を修正し、単一ファイルのエントリポイントビルドを復元し、言語テストを安定化します。
* aliyun-openapi-meta サブモジュールを更新し、ジョブをリリースします。
* OSS 自動化ガイド(en / zh-CN)、ドキュメント起動エラー、終了ステータス、コマンドスペリング安全性マッチング(#1450)を追加し、v3.5.1 CHANGELOG エントリを追加。
- バージョン 3.5.0 から
* docs:StsToken 認証情報モードを (#1403) の @yndu13 による README に追加
* (#1411)の@yndu13による組み込みプラグインとAI MODEの強化
* Aliyun OpenAPI メタデータを更新します
- バージョン 3.4.11 への更新
* feat(openapi):(#1399)の @api-tool-agent により、--estimate-cost カバレッジ(価格コンテキスト、SLS/openapi パス、OSS ブリッジ、by-triple)およびスクリプトコントラクトを拡張します
- バージョン 3.4.10 から(変更なし)
- バージョン 3.4.9 から
* fix(maxc):(#1390)の @yndu13 による Windows でシンボリックリンク作成が失敗する場合にフォールバックします
* 修正:(#1391)の @yndu13 による引用を認識した外部process_command解析
* 修正:(#1392)の@yndu13による外部process_command分割の POSIX 行継続
* (#1394) の @yndu13 による、did-you-mean ヒントを伴う無効なフラグエラーを改善
* 修正:(#1387)の @yndu13 による temp+rename を介して、config.jsonをアトミックに書き込みます
* 修正:(#1395)の @yndu13 による x-acs-retry-after ヘッダーによるスロットリングの検出
* feat:(#1397)で@yndu13により、Elastic Compute Control CLI 用の aliyun ecctl を追加します
* 修正:(#1398)で@yndu13による、aliyun oss サブコマンドでの--profileを許可します
- バージョン 3.4.8 への更新
* 修正(テスト):(#1379)で@yndu13によるオフライン安定版 Windows CI の偽のプラグインインデックス
* 修正:(#1382) の @yndu13 による、wait er タイムアウト/間隔範囲の検証を修正します
* feat(openapi):(#1383)で@CodeSpaceiiiiすることで、ビルトイン PascalCase コマンドに --cli-dry-run フラグを追加します
* 修正:(#1384)の @yndu13 によるread_timeoutとして read-timeout 構成を継続します
* 修正:空の --mode を無視します。そのため、env 認証情報は依然として (#1386) の@yndu13により適用されます
* feat:(#1381)で@yndu13することで、mseutil コマンドを aliyun CLI に追加
* fix(oss):(#1385)で@yndu13することで、プロファイルエンドポイントおよびエンドポイントタイプの vpc を遵守します
* 修正:(#1388)で @Copilot のある @CodeSpaceiiiiによる、openapi/library_test.go でのインポート順序を修正
* (#1362)で@mvanhornすることで、ヘルプ出力の表示されない API パラメーター名を修正(暗い端末では黒字で)。
* feat:(#1380)で@yndu13により、flow-cli を Aliyun CLI に統合します
* fix(esacli):(#1389)の @yndu13 による exec のオーバーライドとショートハンドフラグを強化します
- バージョン 3.4.7 から
* {plugin} (#1376)の@AllyWによるプラグインのエイリアスサポートを追加します
* feat(mock):(#1378)で @yndu13 でコントロール可能なモック stdout サイズのresponse_body_sizeを追加
* fix(plugin):(#1377)の @yndu13 によるプラグインポインターのエイリアスの一括更新を防止します
- バージョン 3.4.6 から
* feat(openapi):(#1373)で @LCLSpring で PricingContext を引用に渡すための--estimate-cost-contextを追加
* feat(mock):(#1375)で@yndu13することで、delay_msフィールドを追加し、コマンド実行レイテンシをシミュレートします
- バージョン 3.4.5 への更新
* [機能] (#1345)の@msyysm1211による ESA CLI サブコマンドをサポート
* feat(config):(#1372)の @yndu13 による OIDC およびロール認証に対する STS エンドポイントオーバーライドをサポートします
- バージョン 3.4.4 から
*(変更なし)
- バージョン 3.4.3 から
* 修正:(#1365)の@yndu13による無効なコマンドエラーにある有効な誤字を修正
* {Misc} (#1366)で@AllyWすることで、外部プロセスを無効にするALIBABA_CLOUD_DISABLE_EXTERNAL_PROCESSを追加します
- バージョン 3.4.2 から
* feat(openapi):(#1364)で@LCLSpringにより --estimate-cost および list-supported-pricing-apis を追加します
- バージョン 3.4.1 への更新
* [機能](#1361)で@MistySoulすることで Aliyun Lindorm CLI サブコマンドを追加します
* {cliext} (#1358) の @AllyW による aliyun spark-submit を追加します
- バージョン 3.4.0 から
* feat(acrutil):(#1349)に@copyrightpoiiiiiすることで、共有バイナリマネージャーを抽出し、診断サブコマンドを追加します
* [機能] (#1350)で @xiao201208 による rostran サブコマンドの追加
* {OpenAPI} (#1306)で@AllyWにより--cli-dry-run-jsonを追加
* {Misc} (#1343)の @AllyW によるプラグイン 3 層 cmd ヘルプを修正
* (#1354) の @yuexiu94 による匿名の機能/サポート
* feat:(#1355)の@yndu13によるスロットリングエラーに対する再試行ポリシーをサポートします
- バージョン 3.3.23 への更新
* {Plugin} プラグインがホストプロファイルの実施を@AllyWすることにより、オプトアウトできるようにします(#1348)
- バージョン 3.3.22 への更新
* {Logging} で@AllyW別に自作ゲートウェイ製品のリストをスキップ(#1346)
- バージョン 3.3.21 から
* {configure} (#1344) で @AllyW によって ROA に対してユーザーが実際に入力するコマンドに対してポリシールールを一致させます
- バージョン 3.3.20 から
* {OpenAPI} (#1342)の @AllyW による呼び出しコンテキストロギングを追加します
- バージョン 3.3.19 から
* [機能] (#1332) の @dingxin-tech による MaxC CLI サブコマンドをサポート
* feat(appmanager):一般化 PrepareEnv 認証情報パススルーは、(#1341)の @mengjunwei-mjw による複数の認証モードをサポートします
- バージョン 3.3.18 から
* (#1337) の @tingbin-ctb により CMS2 コマンドの説明を改善し、例外リターンコードを明確にします
* feat(iact3):(#1336)の @xiao201208 による手動アップグレードで iact3 サブコマンドを追加
* (#1340)で @oobujieshi で kmscli コマンドを追加します
- バージョン 3.3.17 から
* {Plugin} (#1330)の @AllyW によるプラグイン実行のフラグからの言語とプロファイルをサポートします
* (#1331)の @mengjunwei-mjw による Computenest pypi venv
* feat:(#1335)で@imu2008することでサードパーティのコードリポジトリを移行するための codeup-cli サブコマンドを追加
- バージョン 3.3.16 から
* (#1327)で@CodeSpaceiiiiによりエラーメッセージを最適化します
* {Openapi} (#1326)の@AllyWにより、restful 製品の不明な API に対して InvalidApiError を返します
* feat(acrutil):(#1329)で@copyrightpoiiiii Alibaba Cloud Container Registry(ACR)スキル管理 CLI サブコマンドを追加します
* {configure} (#1333)で@AllyWすることで、BearerToken プロファイルモードをサポートします
- バージョン 3.3.15 から
* feat:(#1319)で @Beimingx によって saectl を追加
* Cloud Monitorバージョン 2.0:独立したバイナリアクセス、(#1322)の@thinkbetter18によるAliyun CMS2サブコマンド
* feat(otel):(#1324)で@CodeSpaceiiiiすることで、OpenTelemetry サポートを環境変数と統合します
* aliyuncms は aliyuncms2 に名前が変更されました。COMPAT_MODE、USER_AGENT、AI_USER_AGENT、OTEL ヘッダーが追加されています。ビジネスパラメーターの受け渡しに関する問題は、(#1325)の @tingbin-ctb により修正されました
- バージョン 3.3.14 への更新
* feat(appmanager):(#1317)の @mengjunwei-mjw により PyPI+OSS デュアルソースで appmanager サブコマンドを追加
* {Misc} プラグインインストールの --name および更新バージョンチェックメッセージを追加し、(#1316)の@AllyWによるエージェント検出を調整します
- バージョン 3.3.13 から
- バージョン 3.3.12 への更新
* (#1311)で@CodeSpaceiiiiすることで、AgentBay CLI コマンドを追加し、言語設定ロジックを実装します
* {Profile} で (#1312) に@AllyWすることで、ユーザープロファイルに external-account-type を追加します
* (#1313)で@CodeSpaceiiiiすることで、追加、インポート、削除、リスト、クリア、パスのサブコマンドを持つ CLI モックコマンドを実装します
* {Openapi} (#1314) で@AllyWにより、エージェントセグメントを user-agent に追加
- バージョン 3.3.11 から
* retrySaveProfile 関数を修正して、成功ステータスを返し、(#1310)の@CodeSpaceiiiiによりテストを更新します
- バージョン 3.3.10 への更新
- バージョン 3.3.9 から
* {Config} (#1307)の @AllyW による安全ポリシー環境解析を追加します
- バージョン 3.3.8 から
* {Core} (#1301)でプラグインインストール--packageを追加し、@AllyWによるプラグイン表示を追加
- バージョン 3.3.7 から
* {config} 修正:(#1304)の @AllyW によるプロファイルエンドポイントの env インジェクションに対して、ALIBABA_CLOUD_ENDPOINTだけを遵守します
- バージョン 3.3.6 から
* {Core} (#1303)の @AllyW による oss のエンドポイント短縮形フラグ -e を修正します
- バージョン 3.3.5 から
* feat:(#1298)の @crimson-gao によるプロファイルサポートエンドポイントフラグ
* {Core}:aliyun アップグレードおよび構成可能なプラグインインデックスソースを追加し、(#1299)で@AllyWによって持続する CloudSSO/OAuth のワンオフ CLI フラグを修正します
- バージョン 3.3.4 への更新
* {Core} (#1296)の@AllyWによるプラグインスタイルのサブコマンドに対する不明なフラグ解析を修正します
- バージョン 3.3.3 から
* {Core} (#1295)で @AllyW で ai-mode および安全ポリシー構成を追加します
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるaliyun-cliパッケージを更新してください。参考資料
https://bugzilla.suse.com/1283596
プラグインの詳細
深刻度: High
ID: 370414
ファイル名: openSUSE-2026-22140-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/10/22
更新日: 2026/10/22
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.67
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-63209
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:aliyun-cli
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/19
脆弱性公開日: 2026/9/29
参照情報
CVE: CVE-2026-63209