There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - OpenTelemetry eBPF Instrumentation provides eBPF instrumentation based on the OpenTelemetry standard.
    Prior to version 0.9.0, the custom CappedConcurrentHashMap introduced for Java TLS state tracking never
    removes keys from its insertion-order queue when entries are deleted. In long-running instrumented JVMs,
    repeated connection churn can therefore grow the queue without bound and exhaust heap memory. This issue
    has been patched in version 0.9.0. (CVE-2026-45682)

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2824-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy に対するこの更新では、以下の問題を修正しています

    - CVE-2026-10722: github.com/cilium/ebpf: BTF 文字列オフセット境界チェックにより、不正な形式の ELF/BTF 入力を解析するとクラッシュする可能性 (bsc#1267811)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267185)。
    - CVE-2026-33532: 深くネストされた YAML ドキュメント解析によるサービス拒否 (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:
    golang.org/x/crypto/ssh: 複数の問題 (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリ内のドル引用符付き文字列リテラルでプレースホルダーを使用した場合の SQL インジェクション (bsc#1265440)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21251-1 アドバイザリで言及されています。

    バージョン 1.17.0 に更新してください。

    セキュリティの問題を修正:

    - CVE-2026-25680: golang.org/x/net/html: 任意の HTML の解析で CPU 時間が過剰に消費され、サービス拒否が発生する可能性があります (bsc#1267185)。
    - CVE-2026-25681: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-27136: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-33532: yaml: 深くネスト化したコレクションを含む入力の解析により、スタックオーバーフローが原因で「RangeError」がスローされ、サービス拒否が発生する可能性があります (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827: golang.org/x/crypto/ssh: 認証された SSH クライアントがサーバーによって拒否されたチャネルを繰り返し開くと、無制限のメモリ増加とクラッシュを引き起こす可能性があります (bsc#1266196)。
    - CVE-2026-39828: golang.org/x/crypto/ssh: SSH サーバー認証コールバックが「nil」以外のパーミッションを持つ「PartialSuccessError」を返す場合、パーミッションが破棄されます (bsc#1266196)。
    - CVE-2026-39829: golang.org/x/crypto/ssh: RSA および DSA 公開鍵パーサーによるキーパラメーターのサイズ制限が適用されないため、細工された公開鍵の処理時に過剰な CPU 消費が発生する可能性があります (bsc#1266196)。
    - CVE-2026-39830: golang.org/x/crypto/ssh: 未承諾のグローバルリクエスト応答を送信する悪意のある SSH ピアにより、接続の読み取りループがブロックされ、リソースリークが発生する可能性があります (bsc#1266196)。
    - CVE-2026-39831: golang.org/x/crypto/ssh: FIDO/U2F セキュリティキータイプの「Verify()」メソッドで「User Presence」フラグチェックが欠落しているため、物理的な接触なしで生成された署名が受け入れられます (bsc#1266196)。
    - CVE-2026-39832: golang.org/x/crypto/ssh: キー転送時に宛先制限が暗黙的に削除され、リモートホストでキーを無制限に使用できるようになります (bsc#1266196)。
    - CVE-2026-39833: golang.org/x/crypto/ssh:「NewKeyring()」によって返されるメモリ内キーリングは、「ConfirmBeforeUse」制約付きのキーを暗黙的に受け入れますが、その制約を適用しません (bsc#1266196)。
    - CVE-2026-39834: golang.org/x/crypto/ssh: SSH チャネルでの単一の「Write」呼び出しで 4GB を超えるデータを書き込むと、整数オーバーフローが発生し、空のパケットを送信する無限ループにつながります (bsc#1266196)。
    - CVE-2026-39835: golang.org/x/crypto/ssh: 「IsUserAuthority」または「IsHostAuthority」を設定せずに「CertChecker」を公開鍵コールバックとして使用する SSH サーバーでの証明書処理により、パニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリのドル引用符付き文字列リテラルでプレースホルダーを使用すると、SQL インジェクションが発生する可能性があります (bsc#1265440)。
    - CVE-2026-42502: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42506: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42508: golang.org/x/crypto/ssh: CA に属する取り消された「SignatureKey」の失効チェックが正しく行われません (bsc#1266196)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。
    - CVE-2026-46595: golang.org/x/crypto/ssh: 公開鍵以外のタイプのコールバックが渡された場合、ソースアドレス検証がスキップされます (bsc#1266196)。
    - CVE-2026-46597: golang.org/x/crypto/ssh: 特別に細工された入力の処理時に、AES-GCM パケットデコーダーでバイトから int へのキャストが誤って配置されているため、サーバー側でパニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-46598: golang.org/x/crypto/ssh: 特定の細工された入力の処理により、不正な形式のワイヤバイトをキャストして作成された「ed25519.PrivateKey」が、使用時にパニックを引き起こす可能性があります (bsc#1266196)。

    その他の更新およびバグ修正:

    - バージョン 1.17.0:
      * 機能
        * GraphQL サーバーおよび「gql」サブコマンドを追加。
        * 「otelcol」: Nginx レシーバーを追加。
        * 「otelcol.exporter.prometheus」: クラシックヒストグラムを NHCB に変換。
        * 「database_observability」: MySQL および Postgres に対するさまざまな拡張。
        * 「faro.receiver」: gzip 圧縮リクエスト本文をサポート。
        * Beyla 3.9.8 に更新。
     * バグ修正
       * security: 「x/crypto」、「x/net」、「jackc/pgx/v5」、および「obi」を更新。
       * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
       * 「loki.process」: 潜在的なデッドロックを修正し、ステージシャットダウンを制限。
       * Go を v1.26.4 に更新。
    - バージョン 1.16.3:
      * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
    - バージョン 1.16.2:
      *「loki.process」:「stage.truncate」のルールを変更しなくなり、このステージが使用されるとすべての構成更新でパイプラインがリロードされる。
      *「loki.process」: ステージやレシーバーの変更を伴う更新時のデッドロックの可能性。
      *「otelcol.exporter.awss3」: 欠落している「unique_key_func_name」属性を追加。
    - 脆弱な「yaml」ライブラリへの依存関係を削除。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2824-1 advisory.

    This update for alloy fixes the following issues

    - CVE-2026-10722: github.com/cilium/ebpf: BTF string offset boundary check can lead to crash when parsing     malformed ELF/BTF input (bsc#1267811).
    - CVE-2026-25680,CVE-2026-25681,CVE-2026-27136,CVE-2026-42502,CVE-2026-42506: golang.org/x/net/html:
    multiple issues when parsing HTML files (bsc#1267185).
    - CVE-2026-33532: Denial of Service via deeply nested YAML document parsing (bsc#1260981).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation bypass and privilege escalation (bsc#1266654).
    - CVE-2026-39827,CVE-2026-39828,CVE-2026-39829,CVE-2026-39830,CVE-2026-39831,CVE-2026-39832,CVE-2026-     39833,CVE-2026-39834,CVE-2026-39835,CVE-2026-42508,CVE-2026-46595,CVE-2026-46597,CVE-2026-46598:
    golang.org/x/crypto/ssh: multiple issues (bsc#1266196).
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL injection when placeholders in dollar-     quoted string literals are used in the SQL query (bsc#1265440).
    - CVE-2026-44740: github.com/go-git/go-billy/v5: improper input handling in many components can lead to     DoS via infinite loops, panics or resource consumption (bsc#1267333).
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND parsing can lead to a panic when malformed     payloads are processed (bsc#1267481).
    - CVE-2026-45682: go.opentelemetry.io/obi: keys not deleted by `CappedConcurrentHashMap` after removals     allows repeated connection churn to grow the queue without bound and exhaust heap memory (bsc#1267485).
    - CVE-2026-45685: go.opentelemetry.io/obi: MongoDB TCP parser panics on malformed wire messages and causes     a DoS (bsc#1267488).
    - CVE-2026-45686: go.opentelemetry.io/obi: integer overflow in memcached text protocol parser can crash     the OBI process and cause denial of service (bsc#1267489).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21251-1 advisory.

    Update to version 1.17.0.

    Security issues fixed:

    - CVE-2026-25680: golang.org/x/net/html: parsing arbitrary HTML can consume excessive CPU time, possibly     leading to       denial of service (bsc#1267185).
    - CVE-2026-25681: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-27136: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-33532: yaml: parsing input with deeply nestes collections may throw a `RangeError` due to a     stack overflow       and cause to a denial of service (bsc#1260981).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation       bypass and privilege escalation (bsc#1266654).
    - CVE-2026-39827: golang.org/x/crypto/ssh: authenticated SSH clients that repeatedly open channels which     were rejected       by the server can cause unbounded memory growth and a crash (bsc#1266196).
    - CVE-2026-39828: golang.org/x/crypto/ssh: permissions discarded when an SSH server authentication     callback returns       `PartialSuccessError` with non-`nil` permissions (bsc#1266196).
    - CVE-2026-39829: golang.org/x/crypto/ssh: unenforced size limits on key parameters by the the RSA and DSA     public key       parsers can lead to excessive CPU consumption when processing a crafted public key (bsc#1266196).
    - CVE-2026-39830: golang.org/x/crypto/ssh: malicious SSH peers sending unsolicited global request     responses can block a       connection's read loop and cause a resource leak (bsc#1266196).
    - CVE-2026-39831: golang.org/x/crypto/ssh: missing `User Presence` flag checks in the `Verify()` method     for FIDO/U2F       security key types cause signatures generated without physical touch to be accepted (bsc#1266196).
    - CVE-2026-39832: golang.org/x/crypto/ssh: destination restrictions are silently stripped when forwarding     keys and       allow for unrestricted use of a key on a remote host (bsc#1266196).
    - CVE-2026-39833: golang.org/x/crypto/ssh: in-memory keyring returned by `NewKeyring()` silently accepts     keys with the       `ConfirmBeforeUse` constraint but never enforces it (bsc#1266196).
    - CVE-2026-39834: golang.org/x/crypto/ssh: writing data larger than 4GB in a single `Write` call on an SSH     channel       leads to an integer overflow and an infinite loop that sends empty packets (bsc#1266196).
    - CVE-2026-39835: golang.org/x/crypto/ssh: processing of certificates by SSH servers using `CertChecker`     as a public       key callback without setting `IsUserAuthority` or `IsHostAuthority` can lead to a panic (bsc#1266196).
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: use placeholders in dollar-quoted string     literals in an       SQL query can lead to a SQL injection (bsc#1265440).
    - CVE-2026-42502: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-42506: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-42508: golang.org/x/crypto/ssh: revoked `SignatureKey`s belonging to a CA are not correctly     checked for       revocation (bsc#1266196).
    - CVE-2026-44740: github.com/go-git/go-billy/v5: improper input handling in many components can lead to     DoS via       infinite loops, panics or resource consumption (bsc#1267333).
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND parsing can lead to a panic when malformed     payloads are       processed (bsc#1267481).
    - CVE-2026-45682: go.opentelemetry.io/obi: keys not deleted by `CappedConcurrentHashMap` after removals     allows repeated       connection churn to grow the queue without bound and exhaust heap memory (bsc#1267485).
    - CVE-2026-45685: go.opentelemetry.io/obi: MongoDB TCP parser panics on malformed wire messages and causes     a DoS       (bsc#1267488).
    - CVE-2026-45686: go.opentelemetry.io/obi: integer overflow in memcached text protocol parser can crash     the OBI process       and cause denial of service (bsc#1267489).
    - CVE-2026-46595: golang.org/x/crypto/ssh: source-address validation is skipped if any other type of     callback is passed       other than public key (bsc#1266196).
    - CVE-2026-46597: golang.org/x/crypto/ssh: incorrectly placed cast from bytes to int in the AES-GCM packet     decoder when       processing specially crafted input can lead to for server-side panic (bsc#1266196).
    - CVE-2026-46598: golang.org/x/crypto/ssh: `ed25519.PrivateKey` created by casting malformed wire bytes     due to       processing of certain crafted inputs can lead to panic when used (bsc#1266196).

    Other updates and bugfixes:

    - Version 1.17.0:
      * Features
        * Add GraphQL server and `gql` subcommand.
        * `otelcol`: Add Nginx receiver.
        * `otelcol.exporter.prometheus`: Convert classic histograms to NHCB.
        * `database_observability`: Various enhancements for MySQL and Postgres.
        * `faro.receiver`: Support gzip-compressed request bodies.
        * Update to Beyla 3.9.8.
     * Bug Fixes
       * security: Update `x/crypto`, `x/net`, `jackc/pgx/v5`, and `obi`.
       * cluster: Fix nodes failing to join the cluster with TLS enabled.
       * `loki.process`: Fix potential deadlocks and limit stage shutdown.
       * Update Go to v1.26.4.
    - Version 1.16.3:
      * cluster: Fix nodes failing to join the cluster when TLS is enabled.
    - Version 1.16.2:
      * `loki.process`: No longer mutate rules in `stage.truncate` causing every config update to reload     pipeline when this         stage is used.
      * `loki.process`: Potential deadlock on update with stage and receiver changes.
      * `otelcol.exporter.awss3`: Add missing `unique_key_func_name` attribute.
    - Remove dependency on vulnerable `yaml` library.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
442118	SCA: security update for go.opentelemetry.io/obi (GHSA-962q-hwm5-52x5)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/19	2026/7/2	medium
442118	SCA: security update for go.opentelemetry.io/obi (GHSA-962q-hwm5-52x5)	Tenable Cloud Security	SCA Checks	2026/5/19	2026/7/2	medium
326329	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/13	medium
326022	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	low
326329	SUSE SLED15 / SLES15 Security Update : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/13	medium
326022	openSUSE 16 Security Update : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	low

検出

プラグインの検索

medium

medium

medium

low

medium

low