Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MongoDB Go ドライバーのクライアントレベルの一括書き込み操作は、操作のターゲット名前空間を構築するために名前が使用される前、その名前をエスケープせずに、予約された区切り文字が含まれた呼び出し元指定のデータベース名を受け入れる可能性があります。信頼できない入力をデータベース名として渡すアプリケーションは、意図したものとは異なるデータベースおよびコレクションに対して書き込みを行う可能性があります。Client.BulkWrite APIのみが影響を受けます。(CVE-2026-81521)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4408-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-2303:go.mongodb.org/mongo-driver:mongo-go-driver の GSSAPI エラー処理にヒープ領域外読み取りがあります(bsc#1269861)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277996)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276742)。
    - CVE-2026-45679:go.opentelemetry.io/obi:Redisエラーテキストがスパンステータスメッセージでエクスポートされ、秘密データの漏えいにつながる可能性があります(bsc#1267482)。
    - CVE-2026-45680:go.opentelemetry.io/obi:際限のないBPF内部メトリクスリプレイはCPUを使い果たし、DoSを引き起こす可能性があります(bsc#1267483)。
    - CVE-2026-45681:go.opentelemetry.io/obi:CPU 不一致のフォールバックは、8KB サイズの 256 バイトバッファを使用します。これにより、OBI 領域外読み取りによってメモリがテレメトリに漏洩する可能性があります(bsc#1267484)。
    - CVE-2026-45683:go.opentelemetry.io/obi:ioctl kprobe TLS Java、ユーザーが OBI をカーネルメモリに向け、そのメモリをテレメトリにコピーさせる可能性があります(bsc#1267486)。
    - CVE-2026-45684:go.opentelemetry.io/obi:ログエンリッチャーが「writev」バッファを不適切に処理し、マルチセグメント呼び出しによって最初のセグメントを超えてメモリの読み込みと上書きが行われる可能性があります(bsc#1267487)。
    - CVE-2026-46600:golang.org/x/net/dns/dnsmessage:無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、パニックが発生する可能性があります(bsc#1272418)。
    - CVE-2026-48496:opentelemetry-ebpf-profiler:権限のないプロセスにより、ebpf-profiler エージェントでサービス拒否が引き起こされる可能性があります(bsc#1268982)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272028)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278671)。
    - CVE-2026-71556:github.com/go-git/go-git/v5:シンボリックリンク解決による任意のファイルの読み取り/書き込み(bsc#1276982)。
    - CVE-2026-71557:github.com/go-git/go-git/v5:悪意のある参照名により、参照ストレージ(bsc#1276992)外部のファイルが変更される可能性があります。
    - CVE-2026-75889:「prometheus.operator.ServiceMonitors」コンポーネントによる任意のファイル読み取り。これにより、監視された名前空間の「ServiceMonitor」リソースを変更できるユーザーが、「bearerTokenFile」を通じて任意のローカルファイルを指定することが可能です(bsc#1277429)。
    - CVE-2026-81521:go.mongodb.org/mongo-driver:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(bsc#1278693)。
    - CVE-2026-89090:github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream:有効な範囲外の細工されたヘッダー値タイプバイトを含む無効な形式の EventStream 応答フレームにより、ホストプロセスが終了する可能性があります(bsc#1280671)。

    合金の変更:

    - バージョン 1.19.2 に更新してください。
    - バージョン 1.19.1 に更新してください。
    - バージョン 1.19.0 への更新:
     * 互換性に影響する変更:prometheus.operator.servicemonitorsは、ローカルファイルを参照するエンドポイントをデフォルトで拒否するようになりました。allow_arbitrary_file_access = true を設定して以前の動作を維持します。
     * prometheus.enrich:マルチラベルマッチングをサポートします
     * prometheus.relabel:オプトイン TTL キャッシュモードを追加します
     * テレメトリ:グラフ接続とパイロスコープが転送したエントリの新しいメトリクスを追加します
     * database_observability:MySQL ヘルスチェックからシステムスキーマを除外し、explain_plans のクエリテキストを修正します
    - バージョン 1.18.1 への更新:
     * nop レシーバーを OTel Engine に追加

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 10 / 9 ホストに、RHSA-2026:68334 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Edge Manager(RHEM)は、エッジデバイスとアプリケーションのシンプルでスケーラブルな、セキュリティ重視の管理を可能にします。Podman/DockerまたはKubernetes上で実行されるイメージモードのRHELとコンテナワークロードをサポートします。

    RHEM はスタンドアロン機能として利用可能になり、エッジ展開の柔軟性が向上しています。スタンドアロンバージョンに加えて、REHEMは以下のプラットフォーム用のプラグインとして引き続き提供されます:

    Red Hat Advanced Cluster Management (RHACM): フリート管理をエッジデバイスに拡張します。
    Red Hat Ansible Automation Platform (AAP): エッジ管理と Ansible 自動化を統合します。

    この統合により、組織はエッジデバイスのフリートの管理とオーケストレーションを最適化できます。何千もの分散した小売POSシステムや、遠隔地の工場フロアの産業機械など。

    顧客とパートナーにとっての価値:

    * このソリューションは、お客様が何千台ものデバイスを管理できるだけでなく、運用の拡張にも役立ちます。
    * 大規模なデプロイメントを管理するには、既存の管理システムと統合し、リモート設定と無線アップデートをサポートし、高度な分析のためにテレメトリデータを収集できる必要があります。
    * Red Hat Edge Manager は、エッジデバイスのオンボーディングから廃止まで、シンプルでセキュリティ重視のライフサイクル管理を実現します。

    この完全なエンドツーエンドのソリューションにより、組織は、データを生成するデバイスのフリートから、すべて一元化された場所から最大限の価値を得ることができます。

    セキュリティ修正:

    * flightctl:golang.org/x/net/html:クロスサイトスクリプティングによる任意のコードの実行(CVE-2026-25681)
    * flightctl:golang.org/x/net/html:HTML 解析バイパスによるクロスサイトスクリプティング(CVE-2026-27136)
    * flightctl:golang crypto/x509:DNS SAN エントリの過剰な処理によるサービス拒否(CVE-2026-27145)
    * flightctl:Go crypto/x509:不適切なDNS制約の適用による証明書検証のバイパス(CVE-2026-33810)
    * flightctl:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * flightctl:Go net/mail:細工されたメール入力によるサービス拒否(CVE-2026-39820)
    * flightctl:golang.org/x/crypto/ssh:ユーザープレゼンスチェック欠落によるセキュリティキーバイパス(CVE-2026-39831)
    * flightctl:OpenTelemetry-Go:特大の手荷物ヘッダーによるサービス拒否(CVE-2026-41178)
    * flightctl:Moby コンテナフレームワーク:docker cp マウントセットアップの競合状態を通じたホストファイルの上書き(CVE-2026-42306)
    * flightctl:net/mail:異常なメールアドレス解析によるサービス拒否(CVE-2026-42499)
    * flightctl:Golang MIME:悪意を持って細工されたMIMEヘッダーによるサービス拒否(CVE-2026-42504)
    * flightctl:Billy:不十分な検証による細工された入力によるサービス拒否(CVE-2026-44740)
    * flightctl:golang.org/x/crypto/ssh:細工された AES-GCM パケットデコーダー入力によるサービス拒否(CVE-2026-46597)
    * flightctl:Arc:認証されていないデバッグエンドポイントによる情報漏洩とサービス拒否(CVE-2026-48050)
    * flightctl:golang.org/x/text:無効な UTF-8 入力によるサービス拒否(CVE-2026-56852)
    * flightctl:Go net/http:暗号化されていない HTTP/2 接続にサービス拒否の脆弱性(CVE-2026-56853)
    * flightctl:go html/template:異常な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * flightctl:Go:XML デコーディング再帰深度問題によるサービス拒否(CVE-2026-56859)
    * flightctl:golang net/url:パス解決の二次複雑度によるサービス拒否(CVE-2026-56860)
    * flightctl:Golang crypto/tls:無限の KeyUpdate メッセージによるサービス拒否(CVE-2026-56862)
    * flightctl:PostCSS:細工された sourceMappingURL による情報漏洩(CVE-2026-69153)
    * flightctl:go-git:シンボリックリンク解決による任意のファイルの読み取り/書き込み(CVE-2026-71556)
    * flightctl:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(CVE-2026-81521)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22032-1 アドバイザリで言及されています。

    - CVE-2026-2303:go.mongodb.org/mongo-driver:mongo-go-driver の GSSAPI エラー処理にヒープ領域外読み取りがあります(bsc#1269861)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277996)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276742)。
    - CVE-2026-45679:go.opentelemetry.io/obi:Redisエラーテキストがスパンステータスメッセージでエクスポートされ、秘密データの漏えいにつながる可能性があります(bsc#1267482)。
    - CVE-2026-45680:go.opentelemetry.io/obi:際限のないBPF内部メトリクスリプレイはCPUを使い果たし、DoSを引き起こす可能性があります(bsc#1267483)。
    - CVE-2026-45681:go.opentelemetry.io/obi:CPU 不一致のフォールバックは、8KB サイズの 256 バイトバッファを使用します。これにより、OBI 領域外読み取りによってメモリがテレメトリに漏洩する可能性があります(bsc#1267484)。
    - CVE-2026-45683:go.opentelemetry.io/obi:ioctl kprobe TLS Java、ユーザーが OBI をカーネルメモリに向け、そのメモリをテレメトリにコピーさせる可能性があります(bsc#1267486)。
    - CVE-2026-45684:go.opentelemetry.io/obi:ログエンリッチャーが「writev」バッファを不適切に処理し、マルチセグメント呼び出しによって最初のセグメントを超えてメモリの読み込みと上書きが行われる可能性があります(bsc#1267487)。
    - CVE-2026-46600:golang.org/x/net/dns/dnsmessage:無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、パニックが発生する可能性があります(bsc#1272418)。
    - CVE-2026-48496:opentelemetry-ebpf-profiler:権限のないプロセスにより、ebpf-profiler エージェントでサービス拒否が引き起こされる可能性があります(bsc#1268982)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272028)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278671)。
    - CVE-2026-71556:github.com/go-git/go-git/v5:シンボリックリンク解決による任意のファイルの読み取り/書き込み(bsc#1276982)。
    - CVE-2026-71557:github.com/go-git/go-git/v5:悪意のある参照名により、参照ストレージ(bsc#1276992)外部のファイルが変更される可能性があります。
    - CVE-2026-75889:「prometheus.operator.ServiceMonitors」コンポーネントによる任意のファイル読み取り。これにより、監視された名前空間の「ServiceMonitor」リソースを変更できるユーザーが、「bearerTokenFile」を通じて任意のローカルファイルを指定することが可能です(bsc#1277429)。
    - CVE-2026-81521:go.mongodb.org/mongo-driver:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(bsc#1278693)。
    - CVE-2026-89090:github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream:有効な範囲外の細工されたヘッダー値タイプバイトを含む無効な形式の EventStream 応答フレームにより、ホストプロセスが終了する可能性があります(bsc#1280671)。

    合金の変更:

    バージョン 1.19.2 への更新:

     * 撤回した lib/pq CVE を govulncheck から削除します
     * 生成された doc 出力のコンポーネント名にバッククォートを追加します
     * 互換性に影響する変更:prometheus.operator.servicemonitorsは、ローカルファイルを参照するエンドポイントをデフォルトで拒否するようになりました。allow_arbitrary_file_access = true を設定して以前の動作を維持します。
     * prometheus.enrich:マルチラベルマッチングをサポートします
     * prometheus.relabel:オプトイン TTL キャッシュモードを追加します
     * テレメトリ:グラフ接続とパイロスコープが転送したエントリの新しいメトリクスを追加します
     * database_observability:MySQL ヘルスチェックからシステムスキーマを除外し、explain_plans のクエリテキストを修正します
     * nop レシーバーを OTel Engine に追加
     * に依存関係のアップグレードを解決するためにバックポートします GO-2026-6061

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
341273	Linux Distros のパッチ未適用の脆弱性: CVE-2026-81521	Nessus	Misc.	2026/8/28	2026/11/3	high
362571	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:4408-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
346432	RHEL 10/9:Red Hat Edge Managerバージョン 1.1.4 セキュリティ更新プログラム(重要度高)(RHSA-2026:68334)	Nessus	Red Hat Local Security Checks	2026/9/16	2026/9/16	high
364343	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:22032-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high

検出

プラグインの検索

high

high

high

high