リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21251-1 アドバイザリで言及されています。

    バージョン 1.17.0 に更新してください。

    セキュリティの問題を修正:

    - CVE-2026-25680: golang.org/x/net/html: 任意の HTML の解析で CPU 時間が過剰に消費され、サービス拒否が発生する可能性があります (bsc#1267185)。
    - CVE-2026-25681: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-27136: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-33532: yaml: 深くネスト化したコレクションを含む入力の解析により、スタックオーバーフローが原因で「RangeError」がスローされ、サービス拒否が発生する可能性があります (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827: golang.org/x/crypto/ssh: 認証された SSH クライアントがサーバーによって拒否されたチャネルを繰り返し開くと、無制限のメモリ増加とクラッシュを引き起こす可能性があります (bsc#1266196)。
    - CVE-2026-39828: golang.org/x/crypto/ssh: SSH サーバー認証コールバックが「nil」以外のパーミッションを持つ「PartialSuccessError」を返す場合、パーミッションが破棄されます (bsc#1266196)。
    - CVE-2026-39829: golang.org/x/crypto/ssh: RSA および DSA 公開鍵パーサーによるキーパラメーターのサイズ制限が適用されないため、細工された公開鍵の処理時に過剰な CPU 消費が発生する可能性があります (bsc#1266196)。
    - CVE-2026-39830: golang.org/x/crypto/ssh: 未承諾のグローバルリクエスト応答を送信する悪意のある SSH ピアにより、接続の読み取りループがブロックされ、リソースリークが発生する可能性があります (bsc#1266196)。
    - CVE-2026-39831: golang.org/x/crypto/ssh: FIDO/U2F セキュリティキータイプの「Verify()」メソッドで「User Presence」フラグチェックが欠落しているため、物理的な接触なしで生成された署名が受け入れられます (bsc#1266196)。
    - CVE-2026-39832: golang.org/x/crypto/ssh: キー転送時に宛先制限が暗黙的に削除され、リモートホストでキーを無制限に使用できるようになります (bsc#1266196)。
    - CVE-2026-39833: golang.org/x/crypto/ssh:「NewKeyring()」によって返されるメモリ内キーリングは、「ConfirmBeforeUse」制約付きのキーを暗黙的に受け入れますが、その制約を適用しません (bsc#1266196)。
    - CVE-2026-39834: golang.org/x/crypto/ssh: SSH チャネルでの単一の「Write」呼び出しで 4GB を超えるデータを書き込むと、整数オーバーフローが発生し、空のパケットを送信する無限ループにつながります (bsc#1266196)。
    - CVE-2026-39835: golang.org/x/crypto/ssh: 「IsUserAuthority」または「IsHostAuthority」を設定せずに「CertChecker」を公開鍵コールバックとして使用する SSH サーバーでの証明書処理により、パニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリのドル引用符付き文字列リテラルでプレースホルダーを使用すると、SQL インジェクションが発生する可能性があります (bsc#1265440)。
    - CVE-2026-42502: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42506: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42508: golang.org/x/crypto/ssh: CA に属する取り消された「SignatureKey」の失効チェックが正しく行われません (bsc#1266196)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。
    - CVE-2026-46595: golang.org/x/crypto/ssh: 公開鍵以外のタイプのコールバックが渡された場合、ソースアドレス検証がスキップされます (bsc#1266196)。
    - CVE-2026-46597: golang.org/x/crypto/ssh: 特別に細工された入力の処理時に、AES-GCM パケットデコーダーでバイトから int へのキャストが誤って配置されているため、サーバー側でパニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-46598: golang.org/x/crypto/ssh: 特定の細工された入力の処理により、不正な形式のワイヤバイトをキャストして作成された「ed25519.PrivateKey」が、使用時にパニックを引き起こす可能性があります (bsc#1266196)。

    その他の更新およびバグ修正:

    - バージョン 1.17.0:
      * 機能
        * GraphQL サーバーおよび「gql」サブコマンドを追加。
        * 「otelcol」: Nginx レシーバーを追加。
        * 「otelcol.exporter.prometheus」: クラシックヒストグラムを NHCB に変換。
        * 「database_observability」: MySQL および Postgres に対するさまざまな拡張。
        * 「faro.receiver」: gzip 圧縮リクエスト本文をサポート。
        * Beyla 3.9.8 に更新。
     * バグ修正
       * security: 「x/crypto」、「x/net」、「jackc/pgx/v5」、および「obi」を更新。
       * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
       * 「loki.process」: 潜在的なデッドロックを修正し、ステージシャットダウンを制限。
       * Go を v1.26.4 に更新。
    - バージョン 1.16.3:
      * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
    - バージョン 1.16.2:
      *「loki.process」:「stage.truncate」のルールを変更しなくなり、このステージが使用されるとすべての構成更新でパイプラインがリロードされる。
      *「loki.process」: ステージやレシーバーの変更を伴う更新時のデッドロックの可能性。
      *「otelcol.exporter.awss3」: 欠落している「unique_key_func_name」属性を追加。
    - 脆弱な「yaml」ライブラリへの依存関係を削除。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2824-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy に対するこの更新では、以下の問題を修正しています

    - CVE-2026-10722: github.com/cilium/ebpf: BTF 文字列オフセット境界チェックにより、不正な形式の ELF/BTF 入力を解析するとクラッシュする可能性 (bsc#1267811)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267185)。
    - CVE-2026-33532: 深くネストされた YAML ドキュメント解析によるサービス拒否 (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:
    golang.org/x/crypto/ssh: 複数の問題 (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリ内のドル引用符付き文字列リテラルでプレースホルダーを使用した場合の SQL インジェクション (bsc#1265440)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
326022	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	low
326329	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/13	medium

検出

プラグインの検索

low

medium