リモートのopenSUSE 16ホストには、openSUSE- SU-2026:22143-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    guava 用のこの更新では、次の問題を修正しています:

    - CVE-2026-102554:Javaオブジェクト逆シリアル化中の無制限またはスロットリングのないリソースの割り当て(CWE-770)により、攻撃者が OutOfMemoryError(bsc#1284985)を介してサービス拒否を引き起こす可能性があります。

    guava に関する変更:

    - 生成されたOSGiデータを現実に適合させる
    - guava にアップグレード 33.7.2
     * 33.7.2 + collect の変更:MapMaker、CompactHashMap、および CompactHashSet の逆シリアル化を変更し、シリアル化ペイロードリクエストと同じ量のメモリを熱心に割り当てることを回避します(bsc#1284985、 CVE-2026-102554)
     * 33.7.1 + の変更により、jar マニフェストから Multi-Release 行が削除され、バージョン 33.7.0 で guava-jre に導入された Java 9 および 10 下の問題が修正されます。
     * 33.7.0 + Guava module-info.class の変更が、マルチリリースの root ではなく、jar のルートに存在するようになりました。これにより、jar に META-INF/versions/9/OSGI-INF/ /MANIFEST のファイルが含まれないようにします。一部のユーザーに時折トラブルを引き起こすことがあります + collect:一部の ImmutableMap の実装を変更し、後で再利用するために最初の呼び出し中にそのオブジェクトを作成および保存するのではなく、keySet() などのメソッドを表示するたびに、そのオブジェクトを作成するようにします。これにより、一部のユーザーにとってパフォーマンスが若干向上する可能性がありますが、同じ ImmutableMap インスタンスで asMultimap().inverse() を繰り返し呼び出すなど、異常なケースでは回帰につながる可能性があります。
     + net:on-prefetch-activation 用の HttpHeaders 定数を追加しました。
     + net:application/yaml および application/x-pem-file に MediaType 定数を追加しました。
     + util.concurrent:デリゲートエグゼキューターが RejectedExecutionException をスローする際の ExecutionSequencer キューストールを修正しました。
     * 33.6.0 の変更 + ファイナライゼーションの削除に備えて、ファイナライズから PhantomReference へ一部のクラスを移行しました。
     + cache:Time Unit を使用する CacheBuilder API を廃止し、Duration を使用する API を優先します。
     + collect:natural コンパレータを使用する ImmutableSortedMap コレクターを追加しました。
     + collect:最終フィールドの変更を避けるために、ConcurrentHashMultiset、ImmutableMultimap、TreeMultiset の逆シリアル化を変更しました。その型のインスタンスにそのインスタンスを参照するオブジェクトが含まれている、可能性は極めて低いシナリオですが、これによって壊れたインスタンスが発生し、使用時に NullPointerException がスローされる可能性があります。
     + graph:パッケージ内のすべての API から@Betaを削除しました。
     + graph:自己ループを追加するためのさまざまな戦略に対して Graphs.transitiveClosure() へのサポートを追加しました。
     + graph:Graph および ValueGraph に asNetwork() ビューを追加しました。
     + hash:BloomFilter.serializedSize() を追加しました。
     + net:HttpHeaders.CDN_CACHE_CONTROLを追加しました。
     * 33.5.0 の変更 + guava-gwt のユーザーの場合:Google は内部的に GWT から移行しました。
     GWT と J2CL のユーザー向けに guava-gwt をリリースし続ける予定ですが、アーティファクトの GWT 固有の問題に関するテストは終了しており、発生する可能性のある予期しない問題を修正するためのリソースは限られています。特定の問題は予測されていませんが、サポートがいつまで続くかは保証できません。
     + JSpecify 注釈を OSGi メタデータのオプションの依存関係として一覧表示しました。
     + cache:Cache.asMap() での計算関数からの例外の処理を改善しました。(com.google.common.cache ではなく Caffeine の使用を引き続きお勧めします。)+ collect:等しい要素の安定性を維持するために Iterators.mergeSorted() を改善しました。
     + math:saturatedAbs メソッドを IntMath および LongMath に追加しました。
     + net:image/avif を MediaType に追加しました。
     + util.concurrent:Striped.custom が追加されています。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1793106858アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 33.7.14.0 Google Guava バージョンにおけるオブジェクト逆シリアル化Java中の、制限やスロットリングのないリソースの割り当て(CWE-770)により、攻撃者が OutOfMemoryError を介してサービス拒否を引き起こす可能性があります。CompactHashMap、CompactHashSet、またはMapMakerInternalMapのインスタンスを逆シリアル化するとき、Guavaはスロットリングなしで呼び出し元指定のサイズパラメーターに基づいて熱心に配列を割り当てます。これにより、細工されたシリアル化ストリームによるメモリ枯渇が許されます。(CVE-2026-102554)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのSUSE Linux SLES16 /SLES_SAP16ホストには、 SUSE-SU-2026:24263-1 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    guava 用のこの更新では、次の問題を修正しています:

    - CVE-2026-102554:Javaオブジェクト逆シリアル化中の無制限またはスロットリングのないリソースの割り当て(CWE-770)により、攻撃者が OutOfMemoryError(bsc#1284985)を介してサービス拒否を引き起こす可能性があります。

    guava に関する変更:

    - 生成されたOSGiデータを現実に適合させる
    - guava にアップグレード 33.7.2
     * 33.7.2 + collect の変更:MapMaker、CompactHashMap、および CompactHashSet の逆シリアル化を変更し、シリアル化ペイロードリクエストと同じ量のメモリを熱心に割り当てることを回避します(bsc#1284985、 CVE-2026-102554)
     * 33.7.1 + の変更により、jar マニフェストから Multi-Release 行が削除され、バージョン 33.7.0 で guava-jre に導入された Java 9 および 10 下の問題が修正されます。
     * 33.7.0 + Guava module-info.class の変更が、マルチリリースの root ではなく、jar のルートに存在するようになりました。これにより、jar に META-INF/versions/9/OSGI-INF/ /MANIFEST のファイルが含まれないようにします。一部のユーザーに時折トラブルを引き起こすことがあります + collect:一部の ImmutableMap の実装を変更し、後で再利用するために最初の呼び出し中にそのオブジェクトを作成および保存するのではなく、keySet() などのメソッドを表示するたびに、そのオブジェクトを作成するようにします。これにより、一部のユーザーにとってパフォーマンスが若干向上する可能性がありますが、同じ ImmutableMap インスタンスで asMultimap().inverse() を繰り返し呼び出すなど、異常なケースでは回帰につながる可能性があります。
     + net:on-prefetch-activation 用の HttpHeaders 定数を追加しました。
     + net:application/yaml および application/x-pem-file に MediaType 定数を追加しました。
     + util.concurrent:デリゲートエグゼキューターが RejectedExecutionException をスローする際の ExecutionSequencer キューストールを修正しました。
     * 33.6.0 の変更 + ファイナライゼーションの削除に備えて、ファイナライズから PhantomReference へ一部のクラスを移行しました。
     + cache:Time Unit を使用する CacheBuilder API を廃止し、Duration を使用する API を優先します。
     + collect:natural コンパレータを使用する ImmutableSortedMap コレクターを追加しました。
     + collect:最終フィールドの変更を避けるために、ConcurrentHashMultiset、ImmutableMultimap、TreeMultiset の逆シリアル化を変更しました。その型のインスタンスにそのインスタンスを参照するオブジェクトが含まれている、可能性は極めて低いシナリオですが、これによって壊れたインスタンスが発生し、使用時に NullPointerException がスローされる可能性があります。
     + graph:パッケージ内のすべての API から@Betaを削除しました。
     + graph:自己ループを追加するためのさまざまな戦略に対して Graphs.transitiveClosure() へのサポートを追加しました。
     + graph:Graph および ValueGraph に asNetwork() ビューを追加しました。
     + hash:BloomFilter.serializedSize() を追加しました。
     + net:HttpHeaders.CDN_CACHE_CONTROLを追加しました。
     * 33.5.0 の変更 + guava-gwt のユーザーの場合:Google は内部的に GWT から移行しました。
     GWT と J2CL のユーザー向けに guava-gwt をリリースし続ける予定ですが、アーティファクトの GWT 固有の問題に関するテストは終了しており、発生する可能性のある予期しない問題を修正するためのリソースは限られています。特定の問題は予測されていませんが、サポートがいつまで続くかは保証できません。
     + JSpecify 注釈を OSGi メタデータのオプションの依存関係として一覧表示しました。
     + cache:Cache.asMap() での計算関数からの例外の処理を改善しました。(com.google.common.cache ではなく Caffeine の使用を引き続きお勧めします。)+ collect:等しい要素の安定性を維持するために Iterators.mergeSorted() を改善しました。
     + math:saturatedAbs メソッドを IntMath および LongMath に追加しました。
     + net:image/avif を MediaType に追加しました。
     + util.concurrent:Striped.custom が追加されています。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 33.7.14.0 Google Guava バージョンにおけるオブジェクト逆シリアル化Java中の、制限やスロットリングのないリソースの割り当て(CWE-770)により、攻撃者が OutOfMemoryError を介してサービス拒否を引き起こす可能性があります。CompactHashMap、CompactHashSet、またはMapMakerInternalMapのインスタンスを逆シリアル化するとき、Guavaはスロットリングなしで呼び出し元指定のサイズパラメーターに基づいて熱心に配列を割り当てます。これにより、細工されたシリアル化ストリームによるメモリ枯渇が許されます。(CVE-2026-102554)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
371102	openSUSE 16 セキュリティ更新:guava(openSUSE-SU-2026:22143-1)	Nessus	SuSE Local Security Checks	2026/10/23	2026/10/23	high
372475	AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:guava / guava-javadoc / guava-testlib(ALMALINUX9.2:CLSA-2026:1793106858)	Nessus	Alma Linux Local Security Checks	2026/10/27	2026/10/27	high
371081	SUSE SLES16 セキュリティ更新 : guava (SUSE-SU-2026:24263-1)	Nessus	SuSE Local Security Checks	2026/10/23	2026/10/23	high
364547	Linux Distros のパッチ未適用の脆弱性: CVE-2026-102554	Nessus	Misc.	2026/10/10	2026/10/26	high

検出

プラグインの検索

high

high

high

high