リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1483-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-55199細工された JSON スキーマにより、メモリ不足OOM終了が引き起こされる可能性がありますbsc#1248093。
    - CVE-2026-35206特別に細工されたチャートを介して予期しないディレクトリに書き込まれたファイルbsc#1261938。

    helm の変更

    - バージョン 3.20.2 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20655-1 アドバイザリで言及されています。

    バージョン 3.20.2 に更新してください。

    セキュリティ発行 固定:

    - CVE-2025-55199:特別に設計されたJSONスキーマはメモリ外(OOM)終端(bsc#1248093)を引き起こすことがあります。
    - CVE-2026-35206:特別に作成されたチャートでは、内容がチャート名(bsc#1261938)で付いた期待される出力ディレクトリではなく、即時の出力ディレクトリに抽出されます。

    その他の更新およびバグ修正:

    - バージョン 3.20.1:
      - 雑用(DEPS):K8S-IOグループを7つのアップデートで押し上げる a2369ca(dependabot[bot])
      - 画像インデックステスト 90e1056(ペドロ・T?rres)
      - OCIインデックス911f2e9(Pedro T?rres)からチャートを抽出する修正
      - coalesce_test.go 76dad33(エヴァンス・マンガイ)からのリファクタリング変更を削除
      - Fix import 45c12f7(エヴァンス・ムンガイ)
      - 更新:pkg/chart/common/util/coalesce_test.go 26c6f19(エヴァンス・マンガイ)
      - Fix lint warning 09f5129(エヴァンス・マンガイ)
      - チャートですでに417deb2のニル値を保持(エヴァンス・マンガイ)
      - 修正(値):チャートのデフォルトが空のマップ5417bfa(エヴァンス・マンガイ)の場合、nil値を保持する
    - バージョン 3.20.0:
      - SDK:k8s APIバージョンをv0.35.0にアップ
      - v3 バックポート: --keep-history でヘルムアンインストールしても以前のデプロイリリースが停止されなかったバグを修正 #12564
      - v3 バックポート:Bump Go バージョンから v1.25
      - v3.20へのバンプバージョン
      - 雑事(DEPS): 0.32.0 から golang.org/x/text の上昇 0.33.0
      - 家事(DEPS): 0.38.0 から golang.org/x/term への昇格 0.39.0
      - 雑事(DEPS): 1.1.0 から github.com/foxcpp/go-mockdns への昇進 1.2.0
      - 雑用(DEPS):K8S-IOグループを7回のアップデートで減らす
      - [dev-v3] 廃止された「NewSimpleClientset」を置き換える
      - [dev-v3] Bump Go v1.25, 'golangci-lint' v2
      - 雑事(DEPS): 1.5.0 から github.com/BurntSushi/toml に増やす 1.6.0
      - 雑事(DEPS): 1.7.29 から github.com/containerd/containerd への昇進 1.7.30
      - 修正(ロールバック): 'エラー。文字列合成の代わりにIs'
      - 修正(アンインストール):デプロイされたリリースを置き換える
      - Goの最新パッチを使い、リリースを更新すること
      - 家事(DEPS): 0.45.0 から golang.org/x/crypto へのバンプ 0.46.0
      - 雑事(DEPS): 0.31.0 から golang.org/x/text の上昇 0.32.0
      - 家事(DEPS): 0.37.0 から golang.org/x/term への昇格 0.38.0
      - 雑事(DEPS): 1.10.1 から github.com/spf13/cobra へのバンプ 1.10.2
      - 雑事(DEPS): 1.8.0 から github.com/rubenv/sql-migrate に昇格 1.8.1
      - 家事(DEPS): 0.44.0 から golang.org/x/crypto へのバンプ 0.45.0
      - 家事(DEPS):バンプ github.com/cyphar/filepath-securejoin
      - 雑事(DEPS): 0.30.0 から golang.org/x/text の上昇 0.31.0
      - 家事(DEPS): 0.43.0 から golang.org/x/crypto へのバンプ 0.44.0
      - dev-v3 'helm-latest-version' publishを削除
      - 雑事(DEPS): 0.36.0 から 0.37.0 1.7.28 golang.org/x/term にバンプ 1.7.29
      - Revert pkg/registry:TLS設定をメモリに渡すためのログインオプション
      - jsonschema: v3.18.4に合わせて未解決のURN $ref を警告し無視
      - リポジトリURLで「helm pull」untar dirチェックを修正する
      - 家事(DEPS): 0.42.0 から golang.org/x/crypto へのバンプ 0.43.0
      - 家事(DEPS): 0.12.1 から github.com/gofrs/flock に引き上げる 0.13.0
      - 雑事(DEPS): 0.29.0 から golang.org/x/text の上昇 0.30.0
      - [バックポート] 修正:get-helm-3スクリプトをhelm3-latest-version使用してください
      - pkg/registry:TLS設定をメモリに渡すためのログインオプション
      - 修正:非推奨警告
      - 家事(DEPS): 0.41.0 から golang.org/x/crypto へのバンプ 0.42.0
      - 家事(DEPS): 0.34.0 から golang.org/x/term への昇格 0.35.0
      - パニック回避:インターフェース変換:インターフェース{}はnilです
      - v3.19.0へのバンプバージョン
      - 雑事(DEPS): 1.0.7 から github.com/spf13/pflag へのバンプ 1.0.10
      - 修正:レジストリにリポジトリオージョライザーを設定してください。Client.Resolve()
      - ヌルマージの修正
      - リポジトリのフラグを追加・更新するためのタイムアウトフラグの追加
    - バージョン 3.19.5:
      - オーバーライドでサブチャート値を除去すると警告が出たバグを修正 #31118
      - --keep-history でヘルムアンインストールしても以前のデプロイリリースが停止されなかったバグを修正 #12556
      - 修正(ロールバック):エラー。弦合成の代わりに 4a19a5b(ヒッデ・ベイダル)
      - 修正(アンインストール):Supersedeがリリース7a00235(Hidde Beydals)をデプロイしました
      - 修正 null merge 578564e(ベン・フォスター)
    - バージョン 3.19.4:
      - リリース7cfb6e4(Matt Farina)でGoの最新パッチリリースを使用。
      - 雑事(DEPS): 0.12.1 から 0.13.0 59C951F(dependabot[bot])への増 github.com/gofrs/flock
      - 家事(DEPS):github.com/cyphar/filepath-securejoin D45F3F1 の増幅
      - 雑務(DEPS): 0.44.0 から 0.45.0 D459544へ golang.org/x/crypto アップ(dependabot[bot])
      - 雑事(DEPS): 0.36.0 から 0.37.0 BECD387への golang.org/x/term 上げ(dependabot[bot])
      - Chore(DePS):7つのアップデートでK8S-IOグループを削減 edb1579
    - バージョン 3.19.3:
      - golang.org/x/crypto をv0.45.0にアップ
    - バージョン 3.19.2:
      - [backport] 修正:get-helm-3スクリプトをhelm3-latest-version 8766e71(ジョージ・ジェンキンス)使用してください。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:21434-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 3.20.2 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2025-55199:特別に細工された JSON スキーマにより、メモリ不足(OOM)終了(bsc#1248093)が発生する可能性があります。
    - CVE-2026-35206:特別に細工された Chart のコンテンツは、Chart の名前(bsc#1261938)で接尾辞が付いた予期された出力ディレクトリではなく、即時出力ディレクトリに抽出されます。

    その他の更新およびバグ修正:

    - バージョン 3.20.1:
      - chore(deps):k8s-io グループを 7 つの更新 a2369ca で更新します(Dependabot[bot])
      - イメージインデックステスト 90e1056 を追加(Pedro Torres 氏)
      - OCI インデックス 911f2e9 からのチャートのプルの修正(Pedro Torres 氏)
      - coalesce_test.go 76dad33 からリファクタリングの変更を削除します(Evans Mungai 氏)
      - import 45c12f7 を修正(Evans Mungai 氏)
      - pkg/chart/common/util/coalesce_test.go 26c6f19 を更新します(Evans Mungai 氏)
      - lint の警告 09f5129 を修正(Evans Mungai 氏)
      - チャートの nil 値を既に保持しています 417deb2(Evans Mungai 氏)
      - fix(values):チャートのデフォルトが空のマップ 5417bfa の場合に nil 値を保持します(Evans Mungai 氏)
    - バージョン 3.20.0:
      - SDK:k8s API バージョンを v0.35.0 に更新
      - v3 バックポート: --keep-history での helm のアンインストールが、以前のデプロイされたリリースを一時停止しないバグを修正しました #12564
      - v3 バックポート:Go のバージョンを v1.25 に更新
      - v3.20 にバージョンを更新
      - chore(deps):golang.org/x/text を 0.32.0 から 0.33.0
      - chore(deps):golang.org/x/term を 0.38.0 から 0.39.0
      - chore(deps):github.com/foxcpp/go-mockdns を 1.1.0 から 1.2.0
      - chore(deps):k8s-io グループを 7 つの更新で更新します
      - [dev-v3] 非推奨の「NewSimpleClientset」を置換
      - [dev-v3] Go v1.25、「golangci-lint」v2 を更新します
      - chore(deps):github.com/BurntSushi/toml を 1.5.0 から 1.6.0
      - chore(deps):github.com/containerd/containerd を 1.7.29 から 1.7.30
      - 修正(ロールバック):「エラー。文字列 comp の代わりに Is'
      - 修正(アンインストール):配備されたリリースを置き換えます
      - リリースで Go の最新パッチリリースを使用します
      - chore(deps):golang.org/x/crypto を 0.45.0 から 0.46.0
      - chore(deps):golang.org/x/text を 0.31.0 から 0.32.0
      - chore(deps):golang.org/x/term を 0.37.0 から 0.38.0
      - chore(deps):github.com/spf13/cobra を 1.10.1 から 1.10.2
      - chore(deps):github.com/rubenv/sql-migrate を 1.8.0 から 1.8.1
      - chore(deps):golang.org/x/crypto を 0.44.0 から 0.45.0
      - chore(deps):github.com/cyphar/filepath-securejoin を増やします
      - chore(deps):golang.org/x/text を 0.30.0 から 0.31.0
      - chore(deps):golang.org/x/crypto を 0.43.0 から 0.44.0
      - dev-v3「helm-latest-version」パブリッシュを削除します
      - chore(deps):golang.org/x/term を 0.36.0 から 0.37.0 1.7.28 へと更新します 1.7.29
      - pkg/registry を戻します:メモリで TLS 構成を受け渡すためのログインオプション
      - jsonschema:未解決の URN $ref を警告し、無視し、v3.18.4 を一致させます
      - リポジトリの URL による「helm pull」untar dir チェックを修正します
      - chore(deps):golang.org/x/crypto を 0.42.0 から 0.43.0
      - chore(deps):github.com/gofrs/flock を 0.12.1 から 0.13.0
      - chore(deps):golang.org/x/text を 0.29.0 から 0.30.0
      - [バックポート] 修正:get-helm-3 スクリプトは helm3-latest-version を使用します
      - pkg/registry:メモリで TLS 構成を受け渡すためのログインオプション
      - 廃止の警告を修正します
      - chore(deps):golang.org/x/crypto を 0.41.0 から 0.42.0
      - chore(deps):golang.org/x/term を 0.34.0 から 0.35.0
      - パニックを回避:インターフェイス変換:インターフェイス {} が nil です
      - v3.19.0 にバージョンを更新
      - chore(deps):github.com/spf13/pflag を 1.0.7 から 1.0.10
      - 修正:レジストリでリポジトリオーソライザーを設定します。Client.Resolve()
      - null マージを修正
      - タイムアウトフラグを repo に追加 フラグを追加および更新
    - バージョン 3.19.5:
      - オーバーライドを通じてサブチャートの値を削除すると警告が表示されるバグを修正しました #31118
      - --keep-history での helm アンインストールが、以前のデプロイされたリリースを一時停止しないバグを修正しました #12556
      - 修正(ロールバック):エラー。文字列 comp 4a19a5b の代わりにです(Hidde Beydals 氏)
      - 修正(アンインストール):デプロイされたリリース 7a00235 に置き換えられます(Hidde Beydals 氏)
      - null マージ 578564e を修正(Ben Foster 氏)
    - バージョン 3.19.4:
      - リリース 7cfb6e4 で Go の最新パッチリリースを使用します(Matt Farina 氏)
      - chore(deps):github.com/gofrs/flock を 0.12.1 から 0.13.0 59c951f へ更新します(Dependabot[bot])
      - chore(deps):d45f3f1 github.com/cyphar/filepath-securejoin を増やします
      - chore(deps):golang.org/x/crypto を 0.44.0 から 0.45.0 d459544 へ更新します(Dependabot[bot])
      - chore(deps):golang.org/x/term を 0.36.0 から 0.37.0 becd387 に更新します(Dependabot[bot])
      - chore(deps):k8s-io グループを 7 つの更新で更新します edb1579
    - バージョン 3.19.3:
      - golang.org/x/crypto を v0.45.0 に更新
    - バージョン 3.19.2:
      - [バックポート] 修正:get-helm-3 スクリプトは helm3-latest-version 8766e71 を使用(George Jenkins 氏)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21983-1 アドバイザリで言及されています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:23984-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
307885	SUSE SLES15 セキュリティ更新helmSUSE-SU-2026:1483-1]	Nessus	SuSE Local Security Checks	2026/4/21	2026/4/21	medium
312145	openSUSE 16 セキュリティアップデート:helm(openSUSE-SU-2026:20655-1)	Nessus	SuSE Local Security Checks	2026/5/5	2026/5/5	medium
312134	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:21434-1)	Nessus	SuSE Local Security Checks	2026/5/5	2026/9/25	medium
362531	openSUSE 16:helm / helm-bash-completion / helm-fish-completion / etc(openSUSE-SU-2026:21983-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
363069	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:23984-1)	Nessus	SuSE Local Security Checks	2026/10/6	2026/10/6	high

検出

プラグインの検索

medium

medium

medium

high

high