リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21801-1 アドバイザリで言及されています。

    - CVE-2026-24122:github.com/sigstore/cosign/v2/pkg/cosign:期限切れの CA 証明書よりも長存する証明書の不適切な検証(bsc#1258543)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1278002)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage、go.opentelemetry.io/otel/propagation:バゲージ解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276745)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1278702)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278624)。
    - CVE-2026-84303:github.com/grpc/grpc-go:xDS RBAC HTTPフィルター実装の問題により、大文字小文字混合または正規大文字小文字のヘッダー一致により承認ポリシーをバイパスすることが可能です(bsc#1279390)。
    - CVE-2026-84304:github.com/grpc/grpc-go:HTTP/2 DATA フレームの断片化によるヒープメモリの枯渇(bsc#1279395)。
    - CVE-2026-84445:google.golang.org/grpc:gRPC-Go xDS サーバーに「:authority」および「Host」ヘッダーがないことによるクラッシュによる DoS(bsc#1279392)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21983-1 アドバイザリで言及されています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:23984-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - oras-goは、OCIアーティファクトを管理するためのGoライブラリです。2.6.2の前に、content/file/utils.go:262-275のensureLinkPathは、抽出ベースを基準にしたハードリンクターゲットを検証しますが、未解決のターゲットを返し、OSを引き起こします。解決ヘッダーへのリンク(victim.secret, <extract_base>/payload.tar.gz/evil_cwd_link)。typeflag=TypeLink エントリの現在の作業ディレクトリに対する linkname (Name=payload.tar.gz/evil_cwd_link など) および linkname=victim.secret with io.deis.oras.content.unpack:
    true:.env、.git/config、.aws/credentials、~/.ssh/config などのファイルを漏洩または改ざんする可能性があります。この問題はバージョン 2.6.2 で修正されています。(CVE-2026-50163)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
344683	openSUSE 16 セキュリティ更新 : trivy (openSUSE-SU-2026:21801-1)	Nessus	SuSE Local Security Checks	2026/9/11	2026/9/17	high
362531	openSUSE 16:helm / helm-bash-completion / helm-fish-completion / etc(openSUSE-SU-2026:21983-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
363069	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:23984-1)	Nessus	SuSE Local Security Checks	2026/10/6	2026/10/6	high
327772	Linux Distros のパッチ未適用の脆弱性: CVE-2026-50163	Nessus	Misc.	2026/7/18	2026/11/6	high

検出

プラグインの検索

high

high

high

high