Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Thrift TFramedTransport Go言語実装における整数オーバーフローまたはラップアラウンド脆弱性 この問題はApache Thrift: Before 0.23.0に影響します。ユーザーには、この問題を修正したバージョンであるバージョン 0.23.0 へのアップグレードをお勧めします。(CVE-2026-41602)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20940-1 アドバイザリで言及されています。

    grafana の変更点:

    - CVE-2026-39821:golang.org/x/net をバージョン 0.55.0 に更新することで、検証のバイパスと権限昇格を修正します(bsc#1266600)

    - バージョン 11.6.14+security-04 に更新してください:
      Security:
      * CVE-2026-28374:Annotations API のセキュアでないダイレクトオブジェクト参照を修正します(bsc#1265290)
      * CVE-2026-28376:Grafanaライブプッシュエンドポイントの無制限メモリ割り当てを修正(bsc#1265289)
      * CVE-2026-28383:Grafanaプラグインリソースの無制限メモリ割り当てを修正(bsc#1265286)
      * CVE-2026-28380:スナップショット API の破損したアクセスコントロールを修正します(bsc#1265287)
      * CVE-2026-33376:Auth Proxy IPv6 ホワイトリストバイパスを修正します(bsc#1265285)
      * CVE-2026-28379:Grafana Live(bsc#1265288)で視聴者がトリガーした競合状態を修正
      * CVE-2026-33377:ダッシュボードエディターの権限昇格を修正(bsc#1265284)
      * CVE-2026-33378:Grafana データソースプラグインの OOM 例外を修正(bsc#1265283)
      * CVE-2026-33381:権限削除後にユーザーがサービスアカウントトークンを生成することが防止されます(bsc#1265281)
      * CVE-2026-33380:認証された攻撃者がGrafanaサーバーファイルシステムから任意のファイルを読み取る可能性があるSQL式の脆弱性を修正(bsc#1265282)

    - CVE-2026-34986:JWE 復号化でのパニックを修正します(bsc#1262950)
    - CVE-2026-41602:Apache Thrift の整数オーバーフローまたはラップアラウンドの脆弱性を修正します(bsc#1263501)

    - CVE-2026-26958:filippo.io/edwards25519 をバージョン 1.1.1 に更新します(bsc#1258595)
    - CVE-2026-21725:名前でデータソースを削除するときに UID がないのを修正します(bsc#1258873)

    - バージョン 11.6.14+security-01 に更新してください:
      Security:
      * CVE-2026-33375:MSSQL データソースプラグイン(bsc#1260881)のメモリ不足消耗によるサービス拒否を修正

    - バージョン 11.6.14 への更新:
      Security:
      * CVE-2026-27876:連鎖した SQL 式を介したリモートの任意のコード実行を修正(bsc#1261025)
      * CVE-2026-27877:パブリックダッシュボードによるデータソースパスワードの情報漏洩を修正します(bsc#1261026)
      * CVE-2026-28375:testdata データソースを介したサービス拒否を修正します(bsc#1261029)
      * CVE-2026-27879:リサンプルクエリによるサービス拒否を修正します(bsc#1261027)
      * CVE-2026-33186:HTTP/2 :p ath pseudo-header(bsc#1260263)の不適切な検証による承認バイパスを修正します
      * CVE-2026-21724:保護された Webhook URL の改ざんを可能にする承認バイパスを修正します(bsc#1260878)

    - バージョン 11.6.13 への更新:
      拡張機能：
      * パブリックダッシュボードサービスを HTTP サーバーにワイヤーアリングします

    - バージョン 11.6.12 への更新:
      拡張機能：
      * 認証リダイレクトロジックを更新します バグ修正:
      * 変数参照での単一パネルレンダリングを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:21852-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy 用のこの更新は、次の問題を修正します

    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262955)。
    - CVE-2026-41602:github.com/apache/thrift:TFramedTransport フレームサイズヘッダーにより、uint32 整数オーバーフローが発生する可能性があります(bsc#1263530)。

    合金の変更:

    - バージョン 1.16.1 への更新
     * バグ修正ロギング:ロギング構成を評価する前にコンポーネントログを記録する際のスタートアップデッドロックを修正します Beyla 3.9.8 への更新 Docker から Moby への移行

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1747 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ループ内の誘導変数に対する算術演算が、Go compiler (cmd/compile) のアンダーフローやオーバーフローに関して適切にチェックされていませんでした。その結果、コンパイラは実行時に無効なインデックスアクセスを許可し、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、メモリ破損を引き起こす可能性がありました。(CVE-2026-27143)

    Go compiler (cmd/compile) が、no-op インターフェース変換を不適切に処理し、重複しないメモリ移動に関する正しい決定を妨げ、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、ランタイム時にメモリ破損を引き起こす可能性があります。(CVE-2026-27144)

    チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

    ポリシーを使用する証明書チェーンの検証は、チェーン内の証明書に非常に多くのポリシーマッピングが含まれている場合、予想外に非効率的であり、サービス拒否を引き起こす可能性があります。これは、VerifyOptions.Roots CertPool 内の root CA によって発行される、またはシステム証明書プール内の root CA によって発行される、他の方法で信頼できる証明書チェーンの検証のみに影響します。(CVE-2026-32281)

    Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
    (CVE-2026-32282)

    TLS 接続の一方の側が、単一のレコードでのハンドシェイク後に複数のキー更新メッセージを送信する場合、接続がデッドロックし、制御されないリソース消費が発生する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。これは TLS 1.3 のみに影響します。(CVE-2026-32283)

    ブール値の XPath 式が true と評価されると、logicalQuery.Select で無限ループを引き起こし、CPU 使用率が 100% になる可能性があります。これは、1=1 や true() などのトップレベルのセレクターによって引き起こされる可能性があります。
    (CVE-2026-32287)

    tar.Reader は、古い GNU スパースマップフォーマットでエンコードされた多数のスパース領域を含む悪意のある細工されたアーカイブを読み取る際に、無制限の量のメモリを割り当てる可能性があります。(CVE-2026-32288)

    JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

    cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

    HTTP/2 SETTINGS フレームを処理するときに、値が 0 の SETTINGS_MAX_FRAME_SIZE を受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

    ParseAddress、ParseAddressList、ParseDate に到達する巧妙に細工された入力により、過剰な CPU の枯渇とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

    CVE-2026-27142 により、<meta> タグの <content> 属性内で URL が正しくエスケープされない脆弱性が修正されました。URL コンテンツが <content> 属性内の「=」記号の周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にこれをエスケープできず、XSS が引き起こされるおそれがありました。(CVE-2026-39823)

    ReverseProxy は、Rewrite 関数に認識されないパラメーターを含むクエリを転送する可能性があります。ReverseProxy を Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用する場合、転送されるリクエストがサニタイズされ、url.ParseQuery によって解析されないクエリパラメーターが削除されます。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される) クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。そのため、ReverseProxy が、Rewrite 関数に認識されないクエリパラメーターを含むリクエストを転送することが可能になります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y を指定すると、パラメーター hidden=y をプロキシの Rewrite 関数から隠して転送できます。(CVE-2026-39825)

    信頼できるテンプレート作成者が空の「type」属性または ASCII 空白文字の入った「type」属性が入った <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

    OpenTelemetry-Go は OpenTelemetry の Go 実装です。1.43.0 より前では、otlp HTTP エクスポージャー (traces/metrics/logs) は、HTTP 応答本体をサイズ cap なしでメモリ内の bytes.Buffer に読み取ります。
    これは、構成済みのコレクターエンドポイントが攻撃者によって制御されている場合 (またはネットワーク攻撃者がエクスポージャー接続を緩和できる場合) に、メモリ枯渇に悪用される可能性があります。この脆弱性は 1.43.0 で修正されています。
    (CVE-2026-39882)

    Apache Thrift TFramedTransport Go 言語実装における整数オーバーフローまたはラップアラウンドの脆弱性

    この問題は 0.23.0 より前の Apache Thrift に影響します。

    ユーザーには、この問題を修正したバージョンであるバージョン 0.23.0 へのアップグレードをお勧めします。(CVE-2026-41602)

    Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです。バージョン 3.5.3 および 3.11.3 より前では、リモートの読み取りエンドポイント (/api/v1/read) は、メモリを割り当てる前に、Snappy 圧縮されたリクエスト本文で宣言されたデコード後の長さを検証しません。認証されていない攻撃者が小さなペイロードを送信することで、リクエストごとに大量のヒープ割り当てを引き起こす可能性があります。同時負荷がかかると、これにより使用可能なメモリが枯渇し、Prometheus プロセスがクラッシュする可能性があります。この問題には、バージョン 3.5.3 および 3.11.3 でパッチが適用されています。
    (CVE-2026-42154)

    RFC 5322 に従ってメールアドレスを解析するとき、異常な入力により、consumePhrase を介して DoS が引き起こされる可能性があります。(CVE-2026-42499)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている amazon-cloudwatch-agent のバージョンは、1.300066.2-2 より前です。したがって、ALAS2-2026-3323 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ループ内の誘導変数に対する算術演算が、Go compiler (cmd/compile) のアンダーフローやオーバーフローに関して適切にチェックされていませんでした。その結果、コンパイラは実行時に無効なインデックスアクセスを許可し、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、メモリ破損を引き起こす可能性がありました。(CVE-2026-27143)

    Go compiler (cmd/compile) が、no-op インターフェース変換を不適切に処理し、重複しないメモリ移動に関する正しい決定を妨げ、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、ランタイム時にメモリ破損を引き起こす可能性があります。(CVE-2026-27144)

    チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

    ポリシーを使用する証明書チェーンの検証は、チェーン内の証明書に非常に多くのポリシーマッピングが含まれている場合、予想外に非効率的であり、サービス拒否を引き起こす可能性があります。これは、VerifyOptions.Roots CertPool 内の root CA によって発行される、またはシステム証明書プール内の root CA によって発行される、他の方法で信頼できる証明書チェーンの検証のみに影響します。(CVE-2026-32281)

    Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
    (CVE-2026-32282)

    TLS 接続の一方の側が、単一のレコードでのハンドシェイク後に複数のキー更新メッセージを送信する場合、接続がデッドロックし、制御されないリソース消費が発生する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。これは TLS 1.3 のみに影響します。(CVE-2026-32283)

    ブール値の XPath 式が true と評価されると、logicalQuery.Select で無限ループを引き起こし、CPU 使用率が 100% になる可能性があります。これは、1=1 や true() などのトップレベルのセレクターによって引き起こされる可能性があります。
    (CVE-2026-32287)

    tar.Reader は、古い GNU スパースマップフォーマットでエンコードされた多数のスパース領域を含む悪意のある細工されたアーカイブを読み取る際に、無制限の量のメモリを割り当てる可能性があります。(CVE-2026-32288)

    JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

    cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

    HTTP/2 SETTINGS フレームを処理するときに、値が 0 の SETTINGS_MAX_FRAME_SIZE を受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

    ParseAddress、ParseAddressList、ParseDate に到達する巧妙に細工された入力により、過剰な CPU の枯渇とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

    CVE-2026-27142 により、<meta> タグの <content> 属性内で URL が正しくエスケープされない脆弱性が修正されました。URL コンテンツが <content> 属性内の「=」記号の周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にこれをエスケープできず、XSS が引き起こされるおそれがありました。(CVE-2026-39823)

    ReverseProxy は、Rewrite 関数に認識されないパラメーターを含むクエリを転送する可能性があります。ReverseProxy を Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用する場合、転送されるリクエストがサニタイズされ、url.ParseQuery によって解析されないクエリパラメーターが削除されます。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される) クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。そのため、ReverseProxy が、Rewrite 関数に認識されないクエリパラメーターを含むリクエストを転送することが可能になります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y を指定すると、パラメーター hidden=y をプロキシの Rewrite 関数から隠して転送できます。(CVE-2026-39825)

    信頼できるテンプレート作成者が空の「type」属性または ASCII 空白文字の入った「type」属性が入った <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

    OpenTelemetry-Go は OpenTelemetry の Go 実装です。1.43.0 より前では、otlp HTTP エクスポージャー (traces/metrics/logs) は、HTTP 応答本体をサイズ cap なしでメモリ内の bytes.Buffer に読み取ります。
    これは、構成済みのコレクターエンドポイントが攻撃者によって制御されている場合 (またはネットワーク攻撃者がエクスポージャー接続を緩和できる場合) に、メモリ枯渇に悪用される可能性があります。この脆弱性は 1.43.0 で修正されています。
    (CVE-2026-39882)

    Apache Thrift TFramedTransport Go 言語実装における整数オーバーフローまたはラップアラウンドの脆弱性

    この問題は 0.23.0 より前の Apache Thrift に影響します。

    ユーザーには、この問題を修正したバージョンであるバージョン 0.23.0 へのアップグレードをお勧めします。(CVE-2026-41602)

    Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです。バージョン 3.5.3 および 3.11.3 より前では、リモートの読み取りエンドポイント (/api/v1/read) は、メモリを割り当てる前に、Snappy 圧縮されたリクエスト本文で宣言されたデコード後の長さを検証しません。認証されていない攻撃者が小さなペイロードを送信することで、リクエストごとに大量のヒープ割り当てを引き起こす可能性があります。同時負荷がかかると、これにより使用可能なメモリが枯渇し、Prometheus プロセスがクラッシュする可能性があります。この問題には、バージョン 3.5.3 および 3.11.3 でパッチが適用されています。
    (CVE-2026-42154)

    RFC 5322 に従ってメールアドレスを解析するとき、異常な入力により、consumePhrase を介して DoS が引き起こされる可能性があります。(CVE-2026-42499)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2438-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy 用のこの更新は、次の問題を修正します

    セキュリティ問題:

    - CVE-2026-4427:github.com/jackc/pgproto3/v2:フィールド長の不適切な検証により、悪意のある PostgreSQL サーバーが DataRow メッセージを介してクライアントアプリケーションをクラッシュさせる可能性があります(bsc#1259919)。
    - CVE-2026-25934:github.com/go-git/go-git/v5:.pack ファイルと .idx ファイルのデータの整合性値の検証が不適切なために、破損したファイルが消費される可能性があります(bsc#1258099)。
    - CVE-2026-26958:filippo.io/edwards25519:MultiScalarMult でレシーバーの初期化に失敗すると、無効な結果が生成され、未定義の動作につながる可能性があります(bsc#1258609)。
    - CVE-2026-33186:google.golang.org/grpc:HTTP/2 の不適切な検証による承認バイパス:
    path 擬似ヘッダー(bsc#1260317)。
    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262955)。
    - CVE-2026-41602:github.com/apache/thrift:TFramedTransport フレームサイズヘッダーにより、uint32 整数オーバーフローが発生する可能性があります(bsc#1263530)。

    非セキュリティ問題:

    - systemd tmpfiles.d を使用して、/var/lib/alloy 階層を作成します(jsc#PED-14815)。
    - バージョン 1.16.1 への更新
     * バグ修正ロギング:ロギング構成を評価する前にコンポーネントログを記録する際のスタートアップデッドロックを修正します Beyla 3.9.8 への更新 Docker から Moby への移行
    - Web UI アセットの構築に最新の openSUSE Tumbleweed イメージを使用します
    - nvm をインストールして、upstream を指定するノードバージョンを設定します
    - 1.16.0 への更新:
     * 特徴
     - loki.source.kubernetes_events のクラスタリングを追加します(#6027)(3dbf587)(@petewall)
     - otelcol.auth.google クライアント認証プロバイダーを追加します(#5526)(da99a66)(@dashpole、@clayton-cornell)
     - beyla.ebpf:v3.7.0 に更新します(#5966)(5126c2e)(@marctc)
     - database_observability:GCP Cloud SQL メタデータのサポートを追加します(#5875)(5d23245)(@cristiangreco、@clayton-cornell)
     - database_observability:ターゲットを任意にします(#5924)(54664b2)(@matthewnolf)
     - database_observability:デフォルトで除外されるスキーマとユーザーを更新します(#6080)(b386fff)(@cristiangreco)
     - faro.receiver:リモートロケーションからのソースマップフェッチを追加します(#4614)(b6cb5da)(@Oxel40)
     - helm:global.image.pullPolicy のサポートを追加します(#6069)(2e2ce72)(@petewall)
     - helm:構成リロードのためのイメージプルポリシーの構成を許可します(#5923)(991539b)(@kalleep)
     - loki.secretfilter:タイムアウトしたログの行をマークするためのオプションlabel_timed_outを追加します(#5898)(2ad8834)(@kleimkuhler)
     - loki.secretfilter:secrets_redacted_by_category_totalメトリック結合ルールと生成元を追加します(#5855)(053a2f7)(@kleimkuhler)
     - loki.secretfilter:stdlib の代わりに go-re2 正規表現ライブラリを使用するように secretfilter を変更します(#5909)(c16a660)(@mikefat)
     - loki.secretfilter:冗長な secrets_redacted_by_rule_total および secrets_redacted_by_origin メトリクスを削除します(#5970)(b16decb)(@kleimkuhler)
     - Oracleエクスポート者は複数の DB をスクレイピングできます(#6008)(6fbad38)(@ptodev)
     - prometheus.exporter.cloudwatch:YACE をアップグレードし、aws-sdk-go v1 サポートをドロップします(#5936)(f1c036d)(@x1unix)
     - prometheus.exporter.mysql:mysqld_exporter 0.19.0 への更新(#5836)(4f49b57)(@cristiangreco)
     - prometheus.remote_write:WAL を Upstream Prometheus と同期します(#5907)(e74a91b)(@x1unix)
     - pyroscope:追加の async-profiler CLI 引数のサポートを追加します(#5472)(9251e33)(@ivanape)
     - pyroscope:Parca gRPCデバッグ情報のアップロードをPyroscope Connect APIで置き換えます(#5891)(e7ea34a)(@korniltsev-grafanista)
     - pyroscope:HTTP/1.1 アップロードAPI用のdebuginfoクライアントを更新します(#6037)(879d8e5)(@korniltsev-grafanista)
     - サービス停止コマンドを「sc」から「net」へ変更します(#5906)(450973d)(@mateuszdrab)
     - database_observability.mysql:plan ループのバッチサイズをリファクタリングします(#5894)(f0fcd6b)(@cristiangreco)
     - database_observability.postgres:再接続時の埋め込まれたエクスポーターコレクターをクリーンアップします(#6079)(f30d9ae)(@cristiangreco)
     - database_observability.postgres:プレースホルダーが繰り返されるときの EXPLAIN パラメーターカウントを修正します(#6082)(b612b81)(@rgeyer)
     - database_observability:ログからschema_detectionを破棄します(#6076)(b0105cb)(@cristiangreco)
     - database_observability:connection_info_monitor goroutine が停止で終了するようにします(#5874)(1e3334b)(@cristiangreco)
     - deps:モジュール github.com/aws/aws-sdk-go-v2/service/s3 を v1.97.3 に更新 [セキュリティ] (#6004) (38f4346)
     - deps:モジュール github.com/go-git/go-git/v5 を v5.17.1 に更新 [セキュリティ] (#5934)(a5154af)
     - deps:モジュール github.com/go-git/go-git/v5 を v5.18.0 に更新 [セキュリティ] (#6090)(0e59d64)
     - deps:モジュール github.com/nwaples/rardecode/v2 を v2.2.0 に更新します [セキュリティ](b44d51a)(@jharvey10)
     - deps:モジュール go.opentelemetry.io/otel/exporters/otlp/otlpmetric/otlpmetrichttp を v1.43.0 に更新します [セキュリティ] (#6016) (d92c5c0) go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp v1.43.0 に更新します [セキュリティ] (#6017) (e655bbc)
     - deps:モジュール go.opentelemetry.io/otel/sdk を v1.43.0 に更新 [セキュリティ] (#6018) (94006e8)
     - deps:いくつかのマイナー go dep バージョンを更新します(#5896)(4ddd0ed)(@jharvey10)
     - go:合金ビルダーのイメージを Go 1.25.9 に更新します(#6012)(d2ae8b8)(@x1unix)
     - go:Go 1.25.9 にアップグレードします(#6019)(d777ed1)(@x1unix、@kalleep)
     - Helm:RBAC テンプレートが空のルール配列を処理します(#4860)(c9430e9)(@naptalie、@dehaansa、@kalleep)
     - loki.process:マルチラインステージのストリームごとの goroutine を排除します(#6036)(c089e2e)(@kgeckhart)
     - loki.process:stage.structured_metadata が同一のメタデータを複数回追加することを防ぎます(#5965)(0ec8a26)(@kalleep、@thampiotr)
     - loki.process:テンプレートをカスタムタイプでラップし、検証を構文に移動します。バリデーター (#5910) (700dd7d) (@kalleep)
     - prometheus.exporter.postgres:更新で DB 接続を切断します(#6021)(8da97cf)(@kalleep)
     - prometheus.scrape:実行時に更新されるようにscrape_native_histogramsを更新します(#6087)(18b205c)(@kalleep)
     - pyroscope.ebpf:irsymcache の LRU 削除のデッドロックを修正します(#5911)(03ca563)(@luweglarz)
     - pyroscope.ebpf:コンポーネントエラー処理後に Pyroscope ebpf メトリクス登録を移動します(#5540)(a3c57c0)(@crbednarz、@marcsanmi)
     - pyroscope:debuginfo connect-goクライアントにユーザーエージェントを設定します(#6022)(38ad1ef)(@korniltsev-grafanista)
     - ui:大きな引数がレンダリングされるのではなくファイルとしてダウンロードされます(#5268)(26c67b3)(@ptodev)
     - go-m1cpu v0.1.7 -> v0.2.1 を更新して、M5 チップのクラッシュを修正します(#6034)(7fa0cbc)(@ymotongpoo)
     - windows-installer:障害遅延時のサービス再起動を増加します(#5969)(add15b1)(@rknightion)
    - NPM でホストシステムを危険にさらしたり汚染したりしないように、podman コンテナ内の Web 資産をパッケージ化するためのスクリプトを追加します
    - 1.15.1 への更新:
     goroutine が停止時に終了します
     * CVE-2026-34986:JWE 復号化でのパニックを修正(bsc#1262955)
    - 1.15.0 への更新:
     * 互換性に影響する変更
     - otelcol:OTel Collector v0.147.0 にアップグレードしてください
     - 以前は <component_id><metric_name> が付いたドキュメント化されていないメトリクスの名前が loki_source_awsfirehose に変更されました。<metric_name>
     * セキュリティ CVE-2026-26958:filippo.io/edwards25519 をバージョン 1.1.1 (bsc#1258609)に更新してください。
     - alloy-mixin:フィルター、groupBy、複数選択ダッシュボード変数を追加します
     - beyla.ebpf:Prometheus ネイティブのヒストグラムのサポートを追加します
     - beyla.ebpf:Beyla を v3.6 に更新します
     - コンバーター:Promtail limits_configの変換をサポート
     - database_observability.mysql:クエリサンプルのフィルタリングを追加し、最小期間によるイベントを待機します
     - database_observability.mysql:db-o11y コンポーネント内に prometheus エクスポーターを組み込みます
     - database_observability.postgres:クエリpg_stat_statements構成可能な制限を追加します
     - database_observability.postgres:prometheus エクスポーターを組み込みます
     - database_observability:コンポーネントを安定版にプロモートします
     - 空の msg フィールドがある syslog を処理する機能を露出します
     - loki.process:構造化メタデータを loki.process の stage.labels のソースタイプとしてサポートします
     - loki.secretfilter:secretfilter エントリのサンプリングを追加します
     - loki.source.gcplog:MaxOutstandingBytes と MaxOutstandingMessages の合金構成を追加します
     - loki.write:loki パイプラインレイテンシメトリクスを追加します
     - mixin:loki ダッシュボードを更新します
     - otelcol.receiver.datadog:インテークプロキシおよびtrace_id_cache_size設定を公開します
     - prometheus.exporter.cloudwatch:デフォルトで aws-sdk-go-v2 を使用します
     - pyroscope.ebpf:comm、pid ラベルおよびカーネルフレームオプションを追加します
    - 1.14.1 への更新:
     - otelcol.receiver.kafka 構成で非推奨のトピックフィールドを正しく処理します
     - loki.process:docker json 形式とは思えない json に対して保護します
     - loki.source.file:読み取りが終了したときに圧縮ファイルの位置を保持します
     - prometheus.scrape:scrape_native_histograms と extra_metrics が更新されていても、引数とターゲットが更新されます
    - 1.14.0 への更新:
     - loki.secretfilter:一部の構成オプションが完全に削除されました:
     partial_mask (redact_percent で置き換えられます)、許可リスト (現在はカスタム gitleaks 設定で制御されます)、enable_entropy、include_generic、タイプ (現在はカスタム gitleaks 設定で制御されます)。
     - otelcol.receiver.prometheus:otelcol.receiver.prometheus は、OTLP メトリクスの開始時刻を設定しなくなりました。
     * セキュリティ:
    - 1.13.2 への更新:
     - 欠落しているotelcol.processor.tail_samplingオプションを露出します
     - mixin:zip されたダッシュボードをリリース成果物として追加します
     - profiler:gopclntab textStart 修正 1.26 Go をバックポートします
     - prometheus.exporter.postgres:エクスポーターフォークのバージョンを更新し、pg_settingsを修正します
     - pyroscope.ebpf:dotnet ニブルマップ修正をバックポートします
    - 1.13.1 への更新:
     - 新しいものを開始する前のタイムアウト
    - 1.13.0 への更新:
     - otelcol:OTel Collector v0.142.0 にアップグレードしてください
     - otelcol.receiver.kafka:グローバルトピック属性は削除されました。代わりに、Logs、Metrics、Traces ブロック内の Topics 属性を使用します。
     - otelcol.exporter > sending_queue >バッチ> min_sizeを 8192 から 2000 へ、max_size を 0 から 3000 へ変更しました
     - otelcol.connector.servicegraph に virtual_node_peer_attributes と virtual_node_extra_label 引数を追加します
     - otelcol.processor.metric_start_timeコンポーネントの追加
     - CW エクスポーターに対するジョブレベルの期間、長さ、add_cloudwatch_timestampのオプションとlabels_snake_caseを追加します
     - k8sattributes プロセッサに欠落している構成パラメーター deployment_name_from_replicasetを追加します
     - pyroscope.ebpf にアップロードされる parcas シンボルが追加されます
     - loki.write のシャーディングを追加します
     - 公開されていない otel エンジンと拡張をコードベースに追加し、ビルド構造を変更します
     - beyla.ebpf:beyla.ebpf.attributes.kubernetes にmeta_cache_addressを追加します
     - beyla.ebpf:Beyla を v2.8.5 にアップグレードしてください
     - otelcol.exporter コンポーネント内のバッチブロックsending_queue >デフォルトを変更します
     - cluster:で DNS ディスカバリモードのプレフィックスをサポート
     --cluster.join-addresses フラグ
     - コンバーター:loki.source.file のfile_matchブロックを使用するために promtail コンバーターを更新します
     - database_observability:postgres コンポーネントのヘルスチェックコレクターを追加します
     - database_observability:exclude_schemas と exclude_databases の設定を露出します
     - database_observability:Azure クラウドプロバイダーの構成データをサポート
     - database_observability.mysql:すべてのコレクターにおけるスキーマの除外をサポート
     - database_observability.postgres:すべてのコレクターにおける DB の除外をサポートします

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20816-1 アドバイザリで言及されています。

    alloy 用のこの更新は、次の問題を修正します

    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262955)。
    - CVE-2026-41602:github.com/apache/thrift:TFramedTransport フレームサイズヘッダーにより、uint32 整数オーバーフローが発生する可能性があります(bsc#1263530)。

    合金の変更:

    - バージョン 1.16.1 への更新
     * バグ修正ロギング:ロギング構成を評価する前にコンポーネントログを記録する際のスタートアップデッドロックを修正します Beyla 3.9.8 への更新 Docker から Moby への移行

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3057-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    このterraform-provider-susepubliccloud用の更新プログラムでは、以下の問題が修正されています

    - CVE-2022-41723:go1.19、go1.20:net/http2:HPACK デコーディングの二次複雑度(bsc#1208300)。
    - CVE-2026-33186:google.golang.org/grpc:HTTP/2「:p ath」疑似ヘッダーの不適切な検証による承認バイパス(bsc#1260180)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266477)。
    - CVE-2026-41602:github.com/apache/thrift:「TFramedTransport」フレームサイズヘッダーにより、「uint32」整数オーバーフローが発生する可能性があります(bsc#1263515)。
    - CVE-2026-41603:github.com/apache/thrift:「TSSLTransportFactory」での不適切なホスト名検証が、ホストの不一致につながる可能性があります(bsc#1263606)。
    - CVE-2026-41604:github.com/apache/thrift:無効なフィールド範囲のある素早い入力が、領域外読み取りとアプリケーションクラッシュにつながる可能性があります(bsc#1263445)。
    - CVE-2026-41605:github.com/apache/thrift:大きな整数値を含むコンパクトプロトコルメッセージにより、整数オーバーフローが発生する可能性があります(bsc#1263411)。
    - CVE-2026-41606:github.com/apache/thrift:「c_glib」ディスパッチにおける細工されたネストメッセージにより、制御されない再帰およびサービス拒否(bsc#1263357)が発生する可能性があります。
    - CVE-2026-41607:github.com/apache/thrift:不適切な長さ検証で細工されたメッセージが、領域外読み取りおよび情報漏洩につながる可能性があります(bsc#1263316)。
    - CVE-2026-41636:github.com/apache/thrift:Node.js バインディングの制御されない再帰により、スタック枯渇(bsc#1263247)によるサービス拒否が発生する可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3056-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    terraform-provider-aws、terraform-provider-azurerm、terraform-provider-external、terraform-provider-google、terraform-provider-helm、terraform-provider-kubernetes、terraform-provider-local、terraform-provider-null、terraform-provider-random、terraform-provider-tlsのこの更新プログラムでは、以下の問題が修正されています。

    - CVE-2022-41723:go1.19、go1.20:net/http2:HPACK デコーディングの二次複雑度(bsc#1208300)。
    - CVE-2025-22872: golang.org/x/net/html: タグが誤って解釈されているため、DOM 構築中にコンテンツが誤ったスコープに配置される可能性があります (bsc#1241728)。
    - CVE-2025-32386:helm:特別に細工されたチャートアーカイブにより、OOM 終了が発生する可能性があります(bsc#1241030)。
    - CVE-2025-32387:helm:特別に細工された JSON スキーマにより、スタックオーバーフローが発生する可能性があります(bsc#1241033)。
    - CVE-2025-47911:golang.org/x/net/html:HTML ドキュメントを解析する際に、さまざまなアルゴリズムに二次複雑性があります(bsc#1251365)。
    - CVE-2025-47913:golang.org/x/crypto/ssh/agent:キーリストまたは署名リクエスト(bsc#1253508 bsc#1253517)への応答で予期しないメッセージタイプを受信した場合のクライアントプロセスの終了。
    - CVE-2025-47914:golang.org/x/crypto/ssh/agent:未検証のメッセージサイズにより、領域外読み取りによるパニックを引き起こす可能性があります(bsc#1253980 bsc#1253983)。
    - CVE-2025-58181:golang.org/x/crypto/ssh:無効な数のメカニズムにより、制限のないメモリ消費が引き起こされる可能性があります(bsc#1253797 bsc#1253799)。
    - CVE-2025-58190:golang.org/x/net/html:特別に細工された入力により、「html.ParseFragment」を返します(bsc#1251559)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267058)。
    - CVE-2026-25934:github.com/go-git/go-git/v5:「.pack」および「.idx」ファイルのデータ整合性の値の検証が不適切なために、破損したファイルが消費される可能性があります(bsc#1258096)。
    - CVE-2026-33186:google.golang.org/grpc:HTTP/2「:p ath」疑似ヘッダーの不適切な検証による承認バイパス(bsc#1260139 bsc#1260149 bsc#1260180)。
    - CVE-2026-39821:golang.org/x/net/idna:ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格(bsc#1266477 bsc#1266482 bsc#1266541 bsc#1266547)が可能になります。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、CVE-2026-39833、 CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:
      golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける複数の問題(bsc#1266051 bsc#1266057 bsc#1266086 bsc#1266112 bsc#1266122 bsc#1266127 bsc#1266132 bsc#1266150 bsc#1266160)。
    - CVE-2026-41506:github.com/go-git/go-git/v5:HTTP スマートHTTPの複製とフェッチの操作中にリダイレクトに従う際の認証情報漏洩(bsc#1264862 bsc#1264888 bsc#1264938)。
    - CVE-2026-41602:github.com/apache/thrift:「TFramedTransport」フレームサイズヘッダーにより、「uint32」整数オーバーフローが発生する可能性があります(bsc#1263515)。
    - CVE-2026-41603:github.com/apache/thrift:「TSSLTransportFactory」での不適切なホスト名検証が、ホストの不一致につながる可能性があります(bsc#1263606)。
    - CVE-2026-41604:github.com/apache/thrift:無効なフィールド範囲のある素早い入力が、領域外読み取りとアプリケーションクラッシュにつながる可能性があります(bsc#1263445)。
    - CVE-2026-41605:github.com/apache/thrift:大きな整数値を含むコンパクトプロトコルメッセージにより、整数オーバーフローが発生する可能性があります(bsc#1263411)。
    - CVE-2026-41606:github.com/apache/thrift:「c_glib」ディスパッチにおける細工されたネストメッセージにより、制御されない再帰およびサービス拒否(bsc#1263357)が発生する可能性があります。
    - CVE-2026-41607:github.com/apache/thrift:不適切な長さ検証で細工されたメッセージが、領域外読み取りおよび情報漏洩につながる可能性があります(bsc#1263313)。
    - CVE-2026-41636:github.com/apache/thrift:Node.js バインディングの制御されない再帰により、スタック枯渇(bsc#1263247)によるサービス拒否が発生する可能性があります。
    - CVE-2026-44740:github.com/go-git/go-billy/v5:多くのコンポーネントで入力が不適切に処理され、無限ループ、パニック、またはリソース消費(bsc#1267271 bsc#1267273 bsc#1267276)を介して DoS が発生する可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
311245	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41602	Nessus	Misc.	2026/4/30	2026/9/2	high
321072	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:20940-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/17	medium
318200	SUSE SLES16 セキュリティ更新:alloy(SUSE-SU-2026:21852-1)	Nessus	SuSE Local Security Checks	2026/6/2	2026/9/18	high
316992	Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2026-1747)	Nessus	Amazon Linux Local Security Checks	2026/5/27	2026/7/16	critical
319860	Amazon Linux 2 : amazon-cloudwatch-agent、--advisory ALAS2-2026-3323 (ALAS-2026-3323)	Nessus	Amazon Linux Local Security Checks	2026/6/8	2026/7/16	critical
321596	SUSE SLED15 / SLES15 セキュリティ更新:alloy(SUSE-SU-2026:2438-1)	Nessus	SuSE Local Security Checks	2026/6/20	2026/6/20	medium
317699	openSUSE 16 セキュリティ更新:alloy(openSUSE-SU-2026:20816-1)	Nessus	SuSE Local Security Checks	2026/5/29	2026/9/29	high
327294	SUSE SLES15 セキュリティ更新プログラム:terraform-provider-susepubliccloud(SUSE-SU-2026:3057-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	high
327306	SUSE SLES15:terraform-provider-aws/terraform-provider-azurerm/etc(SUSE-SU-2026:3056-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	high

検出

プラグインの検索

high

medium

high

critical

critical

medium

high

high

high