リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4391-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-59902:netty:SctpMessageCompletionHandler でのメモリ枯渇(bsc#1275501)。
    - CVE-2026-59903:Netty は、CORS Vary ヘッダーの上書きを介したキャッシュポイズニングと情報漏洩に対して脆弱です(bsc#1275500)。
    - CVE-2026-62243:Netty OpenSSL クライアントパスのホスト名検証バイパスをTLSします(bsc#1276455)。
    - CVE-2026-62380:Socks4ClientEncoder および Socks5ClientEncoder における null バイトおよび CRLF インジェクション(bsc#1276456)。
    - CVE-2026-75595:「ClientHello」TLSフラグメント化すると、デフォルトの「SslContext」へのフォールバックが引き起こされ、SNI ルーティングと mTLS 要件バイパスが可能になります(bsc#1276420)。
    - CVE-2026-75596:断片化した「ClientHello」レコードにより、デフォルトの SNI 解析で二次ハンドシェイク前の再アセンブリが発生する可能性があります(bsc#1276421)。
    - CVE-2026-76816:「MqttEncoder」に入力検証がないため、null バイトインジェクション、トピックハイジャック、および ACL バイパスが可能になります(bsc#1277243)。
    - CVE-2026-89044:最終的な Transfer-Encoding コーディング(bsc#1280048)の不適切な検証を介した、Netty におけるリクエストスマグリングをHTTPします。
    - CVE-2026-93488:制限のない同時 SPDY ストリームによるサービス拒否(bsc#1282084)。
    - CVE-2026-93491:制限のない HttpServerCodec HTTP/1.1 パイプラインキューによるサービス拒否(bsc#1282085)。
    - CVE-2026-93492:大きなテーブルサイズによる HTTP/2 HpackEncoder DoS(bsc#1282132)。
    - CVE-2026-93493:OCSP 応答に「nextUpdate」フィールドがないため、サイレント検証バイパスが発生します(bsc#1281431)。
    - CVE-2026-93494:フレーム本体が決して終了しない場合の StompSubframeDecoder の ByteBuf 漏洩(bsc#1282506)。
    - CVE-2026-93558:WebSocketServerExtensionHandler の接続ごとのキューの無制限の増加が、サービス拒否(bsc#1282140)につながります。
    - CVE-2026-93560:STOMP コーデックの content-length の long-to-int 切り捨てにより、無限デコードループの DoS が発生します(bsc#1282141)。
    - CVE-2026-93562:無効な形式の Transfer-Encoding の不完全な検証により、HTTPリクエストのスマグリングが可能です(bsc#1282362)。
    - CVE-2026-93563:「SmtpResponseDecoder」の際限のない複数行の応答の蓄積が、メモリ枯渇と DoS を引き起こします(bsc#1281432)。
    - CVE-2026-93564:HAProxy PROXY-v2 nested-TLV の孫 ByteBuf 参照カウントの漏洩(bsc#1282363)。
    - CVE-2026-93565:末尾のコントロールバイトを介した RtspDecoder メソッドトークンのスマグリング(bsc#1282364)。
    - CVE-2026-93566:チャンクサイズ行の制御文字によるリクエストスマグリングをHTTPします(bsc#1282366)。
    - CVE-2026-93567:HTTP/1 authority-form CONNECT が、Host-controlled:authority(bsc#1282367)により無効な形式の HTTP/2 CONNECT に変換されます。
    - CVE-2026-93568:HTTP/2 および HTTP/3 の拡張 CONNECT リクエストは、通常の CONNECT リクエストとしてダウングレードされます(bsc#1282370)。
    - CVE-2026-93569:HTTP/1 絶対形式のホストの不一致は HTTP/2 :authority に変換され、request-target authority(bsc#1282372)をオーバーライドします。
    - CVE-2026-93572:「RedisArrayAggregator」ネスト化 RESP ヘッダーでパッチ済みの事前割り当て限度を倍増させることで、サービス拒否が発生する可能性があります(bsc#1281433)。
    - CVE-2026-93573:無効な形式の Transfer-Encoding の不完全な検証により、HTTPリクエストのスマグリングが可能です(bsc#1282373)。
    - CVE-2026-93574:チャンクサイズ解析で、ポストディジットの空白を介したリクエストスマグリングをHTTPします(bsc#1282374)。
    - CVE-2026-93575:「MqttDecoder」に検証がないと、過剰なリソース消費と DoS につながる可能性があります(bsc#1281434)。
    - CVE-2026-93576:netty-codec-smtp -- SMTP command-name フィールドが CRLF 検証されていません(bsc#1282507)。
    - CVE-2026-93578:OCSP クライアントでの拡張鍵使用法(EKU)チェックの欠落により、証明書失効バイパス(bsc#1281435)が可能です。
    - CVE-2026-93579:HTTP/2 ヘッダーフィールドの値がデフォルトで検証されません(bsc#1282378)。

    netty の変更: 

    - アップストリームバージョン 4.1.138 にアップグレード

    netty-tcnative に対する変更:

    - バージョン 2.0.84 Final にアップグレードしてください

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Oracle データベースサーバーのバージョンは、2026 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database Server の RDBMS (OpenSSL) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.32 および 23.4.0-23.26.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者が TLS を介してネットワークにアクセスし、RDBMS (OpenSSL) を侵害する可能性があります。この脆弱性への攻撃が成功した場合、RDBMS (OpenSSL) の乗っ取りが発生する可能性があります。(CVE-2026-14456、CVE-2026-14457、CVE-2026-18798、CVE-2026-54874、CVE-2026-63072、CVE-2026-63074、CVE-2026-63075、CVE-2026-63076、CVE-2026-75803)

  - Oracle Database Server の RDBMS コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、23.4.0-23.26.3 です。容易に悪用可能な脆弱性により、低い特権を持つ攻撃者が、Oracle Net を介したネットワークアクセスにより DBMS_VECTOR 権限を取得し、RDBMS を侵害する可能性があります。この脆弱性への攻撃が成功した場合、RDBMS が乗っ取られる可能性があります。(CVE-2026-91499)

  - Oracle Database Server の Oracle OLAP コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.32、21.3-21.23、23.4.0-23.26.3 です。容易に悪用可能な脆弱性により、低い特権を持つ攻撃者が、Oracle Net を介したネットワークアクセスにより DBMS_AW 権限を取得し、Oracle OLAP を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle OLAP の乗っ取りが発生する可能性があります。(CVE-2026-91563)

  - Oracle Database Server の RDBMS (Micronaut) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.32 および 23.4.0-23.26.3です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、RDBMS (Micronaut) を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや RDBMS (Micronaut) がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、RDBMS (Micronaut) がアクセスできるすべてのデータの一部に権限なしで読み取りアクセスできるようになったりする可能性があります。(CVE-2026-89044、CVE-2026-93492、CVE-2026-93493、CVE-2026-93494、CVE-2026-93560、CVE-2026-93561、CVE-2026-93563、CVE-2026-93564、CVE-2026-93565、CVE-2026-93566、CVE-2026-93567、CVE-2026-93568、CVE-2026-93569、CVE-2026-93572、CVE-2026-93573、CVE-2026-93574、CVE-2026-93575、CVE-2026-93576、CVE-2026-93578、CVE-2026-93579)

  - Oracle Database Server の VPD コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.32、21.3-21.23、23.4.0-23.26.3 です。容易に悪用可能な脆弱性により、低い特権を持つ攻撃者が、Oracle Net を介したネットワークアクセスにより Create Table 権限を取得し、VPD を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや VPD がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、VPD がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。(CVE-2026-91503)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty バージョン 4.1.133.Final から 4.1.137.Final および 4.2.13.Final から 4.2.17.Final までの Netty バージョンは、Transfer-Encoding ヘッダーの最終的な転送コーディングを適切に検証できません。これにより、攻撃者が、無効な形式のエンコーディング宣言を使用してリクエストをスマグリングする可能性があります。攻撃者が、Transfer-Encoding ヘッダーを複数行に分割したり、「chunked, xchunked」などの値を使用して、検証をバイパスしたり、最終的なコーディングがチャンク化されない場合にメッセージをチャンクとしてデコードしたりして、リクエストスマグリング攻撃を可能にする可能性があります。(CVE-2026-89044)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
351404	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:4391-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	critical
370482	Oracle Database Server (2026 年 10 月 CPU)	Nessus	Databases	2026/10/22	2026/10/23	high
344650	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89044	Nessus	Misc.	2026/9/10	2026/10/6	medium

検出

プラグインの検索

critical

high

medium