リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22032-1 アドバイザリで言及されています。

    - CVE-2026-2303:go.mongodb.org/mongo-driver:mongo-go-driver の GSSAPI エラー処理にヒープ領域外読み取りがあります(bsc#1269861)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277996)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276742)。
    - CVE-2026-45679:go.opentelemetry.io/obi:Redisエラーテキストがスパンステータスメッセージでエクスポートされ、秘密データの漏えいにつながる可能性があります(bsc#1267482)。
    - CVE-2026-45680:go.opentelemetry.io/obi:際限のないBPF内部メトリクスリプレイはCPUを使い果たし、DoSを引き起こす可能性があります(bsc#1267483)。
    - CVE-2026-45681:go.opentelemetry.io/obi:CPU 不一致のフォールバックは、8KB サイズの 256 バイトバッファを使用します。これにより、OBI 領域外読み取りによってメモリがテレメトリに漏洩する可能性があります(bsc#1267484)。
    - CVE-2026-45683:go.opentelemetry.io/obi:ioctl kprobe TLS Java、ユーザーが OBI をカーネルメモリに向け、そのメモリをテレメトリにコピーさせる可能性があります(bsc#1267486)。
    - CVE-2026-45684:go.opentelemetry.io/obi:ログエンリッチャーが「writev」バッファを不適切に処理し、マルチセグメント呼び出しによって最初のセグメントを超えてメモリの読み込みと上書きが行われる可能性があります(bsc#1267487)。
    - CVE-2026-46600:golang.org/x/net/dns/dnsmessage:無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、パニックが発生する可能性があります(bsc#1272418)。
    - CVE-2026-48496:opentelemetry-ebpf-profiler:権限のないプロセスにより、ebpf-profiler エージェントでサービス拒否が引き起こされる可能性があります(bsc#1268982)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272028)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278671)。
    - CVE-2026-71556:github.com/go-git/go-git/v5:シンボリックリンク解決による任意のファイルの読み取り/書き込み(bsc#1276982)。
    - CVE-2026-71557:github.com/go-git/go-git/v5:悪意のある参照名により、参照ストレージ(bsc#1276992)外部のファイルが変更される可能性があります。
    - CVE-2026-75889:「prometheus.operator.ServiceMonitors」コンポーネントによる任意のファイル読み取り。これにより、監視された名前空間の「ServiceMonitor」リソースを変更できるユーザーが、「bearerTokenFile」を通じて任意のローカルファイルを指定することが可能です(bsc#1277429)。
    - CVE-2026-81521:go.mongodb.org/mongo-driver:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(bsc#1278693)。
    - CVE-2026-89090:github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream:有効な範囲外の細工されたヘッダー値タイプバイトを含む無効な形式の EventStream 応答フレームにより、ホストプロセスが終了する可能性があります(bsc#1280671)。

    合金の変更:

    バージョン 1.19.2 への更新:

     * 撤回した lib/pq CVE を govulncheck から削除します
     * 生成された doc 出力のコンポーネント名にバッククォートを追加します
     * 互換性に影響する変更:prometheus.operator.servicemonitorsは、ローカルファイルを参照するエンドポイントをデフォルトで拒否するようになりました。allow_arbitrary_file_access = true を設定して以前の動作を維持します。
     * prometheus.enrich:マルチラベルマッチングをサポートします
     * prometheus.relabel:オプトイン TTL キャッシュモードを追加します
     * テレメトリ:グラフ接続とパイロスコープが転送したエントリの新しいメトリクスを追加します
     * database_observability:MySQL ヘルスチェックからシステムスキーマを除外し、explain_plans のクエリテキストを修正します
     * nop レシーバーを OTel Engine に追加
     * に依存関係のアップグレードを解決するためにバックポートします GO-2026-6061

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3630-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-47911:golang.org/x/net/html:HTML ドキュメントを解析する際に二次複雑度を持つアルゴリズムにより、サービス拒否(bsc#1251420)が可能になります。
    - CVE-2025-47914:golang.org/x/crypto/ssh/agent:新しい ID リクエストを処理するときにメッセージサイズが検証されないため、領域外読み取り(bsc#1254014)によるパニックが発生する可能性があります。
    - CVE-2025-58181:golang.org/x/crypto/ssh:GSSAPI 認証リクエストにおけるメカニズムの数の検証がないために、制限のないメモリ消費が引き起こされる可能性があります(bsc#1253935)。
    - CVE-2025-58190:golang.org/x/net/html:「html.特別に細工された入力を処理するとき、ParseFragment」がサービス拒否(bsc#1251615)を引き起こす可能性があります。
    - CVE-2026-13201: virt-handler-rhel9: kubevirt:「/proc/self/fd」を通じた safepath の「OpenAtNoFollow」シンボリックリンクが続くと、ホストファイルのメタデータが修正される可能性があります(bsc#1269093)。
    - CVE-2026-13622:virt-handler 移行プロキシはシンボリックリンクに従い、ホストへのコンテナエスケープを許可します(bsc#1272840)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267120)。
    - CVE-2026-33814:golang.org/x/net/http2:細工された「SETTINGS_MAX_FRAME_SIZE」のある HTTP/2 SETTINGS フレームの処理は、無限ループおよびサービス拒否(bsc#1265736)につながる可能性があります。
    - CVE-2026-35469:github.com/moby/spdystream:SPDY/3 フレームパーサーの攻撃者の制御する入力の検証が不適切なために、細工された SPDY フレームによるサービス拒否が可能になります(bsc#1262265)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266575)。
    - CVE-2026-46600:パラメーター値のサイズがメッセージバッファをオーバーフローしたときの無効な SVCB または HTTPS RR の解析により、パニックが発生する可能性があります(bsc#1273606)。
    - CVE-2026-56852:切り捨てられた/無効な UTF-8 入力の不適切な処理により、無限ループが発生する可能性があります(bsc#1272000)。

    その他の更新およびバグ修正:

    - 「go1.25」の vet(「x/net」 0.55.0 リベンダーが必要とするツールチェーン)に失敗する、非定数フォーマット文字列(「cmd/virt-chroot」、「tests/」)を含む「printf」スタイル呼び出しを修正しました。動作を変更せずに書き直されました。
    - Go >= 1.25 で構築します(「golang.org/x/net」 0.55で必要)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21590-1 アドバイザリで言及されています。

    バージョン 1.8.4 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-13201: virt-handler-rhel9: kubevirt:「/proc/self/fd」を通じた safepath の「OpenAtNoFollow」シンボリックリンクが続くと、ホストファイルのメタデータが修正される可能性があります(bsc#1269093)。
    - CVE-2026-13622:virt-handler 移行プロキシはシンボリックリンクに従い、ホストへのコンテナエスケープを許可します(bsc#1272840)。
    - CVE-2026-25680、 CVE-2026-25681、 CVE-2026-27136、 CVE-2026-42502、 CVE-2026-42506:golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267120)。
    - CVE-2026-33814:golang.org/x/net/http2:細工された「SETTINGS_MAX_FRAME_SIZE」のある HTTP/2 SETTINGS フレームの処理は、無限ループおよびサービス拒否(bsc#1265736)につながる可能性があります。
    - CVE-2026-35469:github.com/moby/spdystream:SPDY/3 フレームパーサーの攻撃者の制御する入力の検証が不適切なために、細工された SPDY フレームによるサービス拒否が可能になります(bsc#1262265)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266575)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、 CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、 CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、 CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、 CVE-2026-46598：
      golang.org/x/crypto/ssh:「x/crypto/ssh」での複数の問題(bsc#1266151)。
    - CVE-2026-46600:パラメーター値のサイズがメッセージバッファをオーバーフローしたときの無効な SVCB または HTTPS RR の解析により、パニックが発生する可能性があります(bsc#1273606)。
    - CVE-2026-56852:切り捨てられた/無効な UTF-8 入力の不適切な処理により、無限ループが発生する可能性があります(bsc#1272011)。

     その他の更新およびバグ修正:

    - リリースマニフェストのイメージ参照を修正します(bsc#1272604)。
    - 「libguestfs-tools」サブパッケージを追加します。
    - Go >= 1.25 で構築します(「golang.org/x/net」 0.55で必要)。
    - バージョン 1.8.4:
      * node-labeller:完全な機能拡張のために新しい「libvirt」フラグを使用します。
      * 「GetLauncherClient」での gRPC 接続漏洩を修正します。接続セットアップ失敗時の GHOST ランチャーの記録をクリーンアップします。
      * api:「VMI VSOCK CID」およびチェックサムステータスフィールドを「uint32」として検証。
      * virt-operator:帯域外の変更を完全にサポートするためにカナリアフローを調整します。
      * 新しい「virt-api」/「virt-handler」/「virt-operator」のレディとダウンのメトリクス、アラート、記録ルール。
    - 「disks-images-provider.yaml」を v1.8.4 イメージタグにリフレッシュします。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4408-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-2303:go.mongodb.org/mongo-driver:mongo-go-driver の GSSAPI エラー処理にヒープ領域外読み取りがあります(bsc#1269861)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277996)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276742)。
    - CVE-2026-45679:go.opentelemetry.io/obi:Redisエラーテキストがスパンステータスメッセージでエクスポートされ、秘密データの漏えいにつながる可能性があります(bsc#1267482)。
    - CVE-2026-45680:go.opentelemetry.io/obi:際限のないBPF内部メトリクスリプレイはCPUを使い果たし、DoSを引き起こす可能性があります(bsc#1267483)。
    - CVE-2026-45681:go.opentelemetry.io/obi:CPU 不一致のフォールバックは、8KB サイズの 256 バイトバッファを使用します。これにより、OBI 領域外読み取りによってメモリがテレメトリに漏洩する可能性があります(bsc#1267484)。
    - CVE-2026-45683:go.opentelemetry.io/obi:ioctl kprobe TLS Java、ユーザーが OBI をカーネルメモリに向け、そのメモリをテレメトリにコピーさせる可能性があります(bsc#1267486)。
    - CVE-2026-45684:go.opentelemetry.io/obi:ログエンリッチャーが「writev」バッファを不適切に処理し、マルチセグメント呼び出しによって最初のセグメントを超えてメモリの読み込みと上書きが行われる可能性があります(bsc#1267487)。
    - CVE-2026-46600:golang.org/x/net/dns/dnsmessage:無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、パニックが発生する可能性があります(bsc#1272418)。
    - CVE-2026-48496:opentelemetry-ebpf-profiler:権限のないプロセスにより、ebpf-profiler エージェントでサービス拒否が引き起こされる可能性があります(bsc#1268982)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272028)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278671)。
    - CVE-2026-71556:github.com/go-git/go-git/v5:シンボリックリンク解決による任意のファイルの読み取り/書き込み(bsc#1276982)。
    - CVE-2026-71557:github.com/go-git/go-git/v5:悪意のある参照名により、参照ストレージ(bsc#1276992)外部のファイルが変更される可能性があります。
    - CVE-2026-75889:「prometheus.operator.ServiceMonitors」コンポーネントによる任意のファイル読み取り。これにより、監視された名前空間の「ServiceMonitor」リソースを変更できるユーザーが、「bearerTokenFile」を通じて任意のローカルファイルを指定することが可能です(bsc#1277429)。
    - CVE-2026-81521:go.mongodb.org/mongo-driver:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(bsc#1278693)。
    - CVE-2026-89090:github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream:有効な範囲外の細工されたヘッダー値タイプバイトを含む無効な形式の EventStream 応答フレームにより、ホストプロセスが終了する可能性があります(bsc#1280671)。

    合金の変更:

    - バージョン 1.19.2 に更新してください。
    - バージョン 1.19.1 に更新してください。
    - バージョン 1.19.0 への更新:
     * 互換性に影響する変更:prometheus.operator.servicemonitorsは、ローカルファイルを参照するエンドポイントをデフォルトで拒否するようになりました。allow_arbitrary_file_access = true を設定して以前の動作を維持します。
     * prometheus.enrich:マルチラベルマッチングをサポートします
     * prometheus.relabel:オプトイン TTL キャッシュモードを追加します
     * テレメトリ:グラフ接続とパイロスコープが転送したエントリの新しいメトリクスを追加します
     * database_observability:MySQL ヘルスチェックからシステムスキーマを除外し、explain_plans のクエリテキストを修正します
    - バージョン 1.18.1 への更新:
     * nop レシーバーを OTel Engine に追加

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3480-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - セキュリティ更新は、ベンダーツリーに実際に存在する修正コードを監査することで検証された、以前の更新からの CVE オーバークレームを修正します:

      * CVE-2026-39821 (bsc#1266575):以前のエントリでは、これが golang.org/x/net v0.55.0 の再ベンダーによって修正されると主張していましたが、 0.55.0 の idna 修正は、go1.27+ にのみ存在する Unicode 16 テーブルのコンパイル時間ゲートです。これは、go1.25 ビルドでは不活性であるため、この主張は不適切でした。v0.55.0 -> v0.57.0 golang.org/x/net を再ベンダーします。その idna パッケージはすべての ASCII Punycode ラベルを無条件で拒否します。この CVE は実際に修正されました。

    - golang.org/x/text v0.37.0 -> v0.40.0 を再ベンダー: CVE-2026-56852 (bsc#1271661)、unicode/norm の無効な入力における無限ループ。

    - golang.org/x/crypto v0.52.0 -> v0.54.0(X/NET 0.57.0 により取り込まれます。
      追加の CVE クレームはありません。以前リストされたすべての X/Crypto 修正は含まれます)。

    - CVE-2026-13201 (bsc#1269093)Safepath は、最後のコンポーネントがシンボリックリンクであるパスを検出せずに解決し、/proc/self/fd を介したメタデータ操作がシンボリックリンクターゲットに作用するようにします。
      Upstream release-1.7 のバックポートは、9ecda4ad5e および 1494cee849 をコミットします。
    - X/Net 0.57.0 には、dns/dnsmessage の CVE-2026-46600 (bsc#1272415)の修正も含まれています。kubevirt はそのパッケージをベンダーしていません(影響を受けません)。バンプがそれを通り過ぎるだけです。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行している Golang のバージョンは、1.26.6 より前の 1.26.x です。したがって、バンドルされた golang.org/x/net/dns/dnsmessage パッケージでサービス拒否の脆弱性の影響を受けます。無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたときに、パニックが発生する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、無効な SVCB または HTTPS RR を解析すると、パニックが発生する可能性があります。(CVE-2026-46600)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
364343	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:22032-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
337974	SUSE SLES15 セキュリティ更新:kubevirt-1.6、virt-api-container-1.6、virt-controller-container-1.6、virt-exportproxy-container-1.6、virt-exportserver-container-1.6、virt-handler-container-1.6、virt-launcher-container-1.6、 virt-libguestfs-tools-container-1.6、virt-operator-container-1.6、 virt-pr-helper-container-1.6、 virt-synchronization-controller-container-1.6 (SUSE-SU-2026:3630-1)	Nessus	SuSE Local Security Checks	2026/8/19	2026/9/3	high
338629	openSUSE 16:kubevirt1.8-container-disk/kubevirt1.8-libguestfs-tools/etc(openSUSE-SU-2026:21590-1)	Nessus	SuSE Local Security Checks	2026/8/21	2026/9/3	high
362571	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:4408-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
362530	openSUSE 16 セキュリティ更新 : rclone (openSUSE-SU-2026:21999-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
332133	SUSE SLES15 セキュリティ更新プログラム:kubevirt(SUSE-SU-2026:3480-1)	Nessus	SuSE Local Security Checks	2026/8/5	2026/8/5	high
338315	Golang 1.26.x < 1.26.6 DoS	Nessus	Misc.	2026/8/20	2026/8/21	high
329562	Linux Distros のパッチ未適用の脆弱性: CVE-2026-46600	Nessus	Misc.	2026/7/25	2026/8/2	high

検出

プラグインの検索

high

high

high

high

high

high

high

high