The remote Alibaba Cloud Linux 3 host has packages installed that are affected by a vulnerability as referenced in the ALINUX3-SA-2024:0127 advisory.

    Package updates are available for Alibaba Cloud Linux 3 that fix the following vulnerabilities:

    CVE-2024-32462:
    Flatpak is a system for building, distributing, and running sandboxed desktop applications on Linux. in     versions before 1.10.9, 1.12.9, 1.14.6, and 1.15.8, a malicious or compromised Flatpak app could execute     arbitrary code outside its sandbox. Normally, the `--command` argument of `flatpak run` expects to be     given a command to run in the specified Flatpak app, optionally along with some arguments. However it is     possible to instead pass `bwrap` arguments to `--command=`, such as `--bind`. It's possible to pass an     arbitrary `commandline` to the portal interface `org.freedesktop.portal.Background.RequestBackground` from     within a Flatpak app. When this is converted into a `--command` and arguments, it achieves the same effect     of passing arguments directly to `bwrap`, and thus can be used for a sandbox escape. The solution is to     pass the `--` argument to `bwrap`, which makes it stop processing options. This has been supported since     bubblewrap 0.3.0. All supported versions of Flatpak require at least that version of bubblewrap. xdg-     desktop-portal version 1.18.4 will mitigate this vulnerability by only allowing Flatpak apps to create     .desktop files for commands that do not start with --. The vulnerability is patched in 1.15.8, 1.10.9,     1.12.9, and 1.14.6.

Tenable has extracted the preceding description block directly from the Alibaba Cloud Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-SUSE-RU-2025:0145-1 advisory.

    This update for bubblewrap, flatpak updates flatpak to 1.16.0.

    flatpak changes:

    - Update to version 1.16.0:

      - Bug fixes:

        - Update libglnx to 2024-12-06:

          . Fix an assertion failure if creating a parent directory             encounters a dangling symlink.
          . Fix a Meson warning.
          . Don't emit terminal progress indicator escape sequences by             default. They are interpreted as notifications by some             terminal emulators.
        - Fix introspection annotations in libflatpak.

      - Enhancements:

        - Add the FLATPAK_TTY_PROGRESS environment variable, which           re-enables the terminal progress indicator escape sequences           added in 1.15.91.
        - Document the FLATPAK_FANCY_OUTPUT environment variable, which           allows disabling the fancy formatting when outputting to a           terminal.

    Update to version 1.15.91 (unstable):

      - Enhancements:

        - Add the FLATPAK_DATA_DIR environment variable, which allows           overriding at runtime the data directory location that           Flatpak uses to search for configuration files such as           remotes. This is useful for running tests, and for when           installing using Flatpak in a chroot.
        - Add a FLATPAK_DOWNLOAD_TMPDIR variable. This allows using           download directories other than /var/tmp.
        - Emit progress escape sequence. This can be used by terminal           emulators to detect and display progress of Flatpak           operations on their graphical user interfaces.

      - Bug fixes:

        - Install missing test data. This should fix 'as-installed'           tests via ginsttest-runner, used for example in Debian's           autopkgtest framework.
        - Unify and improve how the Wayland socket is passed to the           sandboxed app. This should fix a regression that is triggered           by compositors that both implement the security-context-v1           protocol, and sets the WAYLAND_DISPLAY environment variable           when launching Flatpak apps.
        - Fix the plural form of a translatable string.

    Update to version 1.15.12:

      - Return to using the process ID of the Flatpak app in the cgroup         name. Using the instance ID in 1.15.11 caused crashes when         installing apps, extensions or runtimes that use the 'extra         data' mechanism, which does not set up an instance ID.

    Changes from version 1.15.11:

      - Dependencies:

        - In distributions that compile Flatpak to use a separate           xdg-dbus-proxy executable, version 0.1.6 is recommended (but           not required).
        - The minimum xdg-dbus-proxy continues to be 0.1.0.

      - Enhancements:

        - Allow applications like WebKit to connect the AT-SPI           accessibility tree of processes in a sub-sandbox with the           tree in the main process.
          . New sandboxing parameter flatpak run --a11y-own-name, which             is like --own-name but for the accessibility bus.
          . flatpak-portal API v7: add new sandbox-a11y-own-names             option, which accepts names matching ${FLATPAK_ID}.*           . Apps may call the org.a11y.atspi.Socket.Embedded method on             names matching ${FLATPAK_ID}.Sandboxed.* by default           . flatpak run -vv $app_id shows all applicable sandboxing             parameters and their source, including overrides, as debug             messages
        - Introduce USB device listing           . Apps can list which USB devices they want to access ahead             of time by using the --usb parameter. Check the manpages             for the more information about the accepted syntax.
          . Denying access to USB devices is also possible with the
            --no-usb parameter. The syntax is equal to --usb.
          . Both options merely store metadata, and aren't used by             Flatpak itself. This metadata is intended to be used by the             (as of now, still in progress) USB portal to decide which             devices the app can enumerate and request access.
        - Add support for KDE search completion
        - Use the instance id of the Flatpak app as part of the cgroup           name. This better matches the naming conventions for cgroup.

      - Bug fixes:

        - Update libglnx to 2024-08-23
        - fix build in environments that use -Werror=return-type, such           as openSUSE Tumbleweed
        - add a fallback definition for G_PID_FORMAT with older GLib
        - avoid warnings for g_steal_fd() with newer GLib
        - improve compatibility of g_closefrom() backport with newer           GLib
        - Update meson wrap file for xdg-dbus-proxy to version 0.1.6:
        - compatibility with D-Bus implementations that pipeline the           authentication handshake, such as sd-bus and zbus
        - compatibility with D-Bus implementations that use           non-consecutive serial numbers, such as godbus and zbus
        - broadcast signals can be allowed without having to add TALK           permission
        - fix memory leaks

      - Internal changes:

        - Better const-correctness
        - Fix a shellcheck warning in the tests

    - add weak dep on p11-kit-server for certificate transfer (boo#1188902)
    - disable parental controls for now by using '-Dmalcontent=disabled', to work around       issues with xdg-desktop-portal

    Update to version 1.14.10:

      - Dependencies: In distributions that compile Flatpak to use a         separate bubblewrap (bwrap) executable, either version 0.10.0,         version 0.6.x  0.6.3, or a version with a backport of the
        --bind-fd option is required. These versions add a new feature         which is required by the security fix in this release.
      - Security fixes: Don't follow symbolic links when mounting         persistent directories (--persist option). This prevents a         sandbox escape where a malicious or compromised app could edit         the symlink to point to a directory that the app should not have         been allowed to read or write. (bsc#1229157, CVE-2024-42472,         GHSA-7hgv-f2j8-xw87)
      - Documentation: Mark the 1.12.x and 1.10.x branches as         end-of-life (#5352)
      - Version 1.14.9 was not released due to an incompatibility with         older versions of GLib. Version 1.14.10 replaces it.

    Update to version 1.14.8:

      - No changes. This release is rolling out to correct mismatching         submodule versions in the release tarball.

    Update to version 1.14.7:

      - New features: Automatically reload D-Bus session bus         configuration after installing or upgrading apps, to pick up         any exported D-Bus services (#3342)
      - Bug fixes:
        - Expand the list of environment variables that Flatpak apps do           not inherit from the host system (#5765, #5785)
        - Don't refuse to start apps when there is no D-Bus system bus           available (#5076)
        - Don't try to repeat migration of apps whose data was migrated           to a new name and then deleted (#5668)
        - Fix warnings from newer GLib versions (#5660)
        - Always set the container environment variable (#5610)
        - In flatpak ps, add xdg-desktop-portal-gnome to the list of           backends we'll use to learn which apps are running in the           background (#5729)
        - Avoid leaking a temporary variable from           /etc/profile.d/flatpak.sh into the shell environment (#5574)
        - Avoid undefined behaviour of signed left-shift when storing           object IDs in a hash table (#5738)
        - Fix Docbook validity in documentation (#5719)
        - Skip more tests when FUSE isn't available (#5611)
        - Fix a misleading comment in the test for CVE-2024-32462           (#5779)
      - Internal changes:
        - Fix Github Workflows recipes

    Update to version 1.14.6:

      - Security fixes:
        - Don't allow an executable name to be misinterpreted as a           command-line option for bwrap(1). This prevents a sandbox           escape where a malicious or compromised app could ask           xdg-desktop-portal to generate a .desktop file with access           to files outside the sandbox. (CVE-2024-32462, bsc#1223110)
      - Other bug fixes:
        - Don't parse <developer><name/></developer> as the application           name (#5700)

    bubblewrap changes:

    Update to 0.11.0:

     * New --overlay, --tmp-overlay, --ro-overlay and --overlay-src        options allow creation of overlay mounts. This feature is not        available when bubblewrap is installed setuid.
     * New --level-prefix option produces output that can be parsed        by tools like logger --prio-prefix and        systemd-cat --level-prefix=1
     * bug fixes and developer visible changes

    Update to version v0.10.0:

     * New features: Add the --[ro-]bind-fd option, which can be used        to mount a filesystem represented by a file descriptor without        time-of-check/time-of-use attacks. This is needed when        resolving security issue in Flatpak.
       (CVE-2024-42472, bsc#1229157)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLES12/ SLES_SAP12 ホストには、SUSE-SU-2024:1548-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Flatpak は、サンドボックス化されたデスクトップアプリケーションを Linux 上で構築、配布、実行するためのシステムです。1.10.9、1.12.9、1.14.6、1.15.8 より前のバージョンでは、悪意のあるまたは危険にさらされている Flatpak アプリがサンドボックス外で任意のコードを実行する可能性があります。通常、`flatpak run` の `--command` 引数は、指定された Flatpak アプリで実行するコマンドと、オプションでいくつかの引数が与えられることを期待しています。ただし、代わりに `bwrap` 引数を `--command=` に渡すことができます (例: `--bind`)。Flatpak アプリ内から任意の `commandline` をポータルインターフェース `org.freedesktop.portal.Background.RequestBackground` に渡すことが可能です。これが `--command` と引数に変換されると、引数を直接 `bwrap` に渡すのと同じ効果が得られるため、サンドボックスエスケープに使用される可能性があります。解決策は、`--` 引数を `bwrap` に渡して、オプションの処理を停止させることです。これは、bubblewrap 0.3.0 以降でサポートされています。サポートされているすべてのバージョンの Flatpak には、少なくともそのバージョンの bubblewrap が必要です。xdg-desktop-portal バージョン 1.18.4 は、Flatpak アプリが -- で始まらないコマンド用の .desktop ファイルの作成だけをできるようにすることにより、この脆弱性を緩和します。この脆弱性は、1.15.8、1.10.9、1.12.9、1.14.6 でパッチされています。(CVE-2024-32462)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:3962 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Flatpak は、Linux でサンドボックス化されたデスクトップアプリケーションを構築、配布、実行するためのシステムです。

    セキュリティ修正プログラム :

    * flatpak: RequestBackground ポータルによるサンドボックスエスケープ (CVE-2024-32462)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2024-3959 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    [1.12.9-1]
    - 1.12.9 への更新 (CVE-2024-32462)

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2024:1831-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-32462: RequestBackground ポータルによるサンドボックスエスケープを修正しました (bsc#1223110)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2024:1806-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-32462: RequestBackground ポータルによるサンドボックスエスケープを修正しました (bsc#1223110)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 7 ホストに、ELSA-2024-3980 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    [1.0.9-13]
    - CVE-2024-32462の修正

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのAlmaLinux 9ホストには、ALSA-2024:3959アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    * flatpak: RequestBackground ポータルによるサンドボックスエスケープ (CVE-2024-32462)

Tenableは、前述の記述ブロックをAlmaLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRocky Linux 9ホストには、RLSA-2024:3959アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    * flatpak: RequestBackground ポータルによるサンドボックスエスケープ (CVE-2024-32462)

Tenable は、前述の記述ブロックを Rocky Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-SUSE-RU-2025:0145-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    この bubblewrap 用更新プログラムである flatpak では、flatpak が 1.16.0 に更新されます。

    flatpak の変更:

    - バージョン 1.16.0 への更新:

      - バグの修正：

        - libglnx を 2024 年 12 月 6 日に更新:

          。親ディレクトリの作成中にダングリングシンボリックリンクに遭遇した場合のアサーション失敗を修正します。
          。Meson 警告を修正します。
          。デフォルトではターミナルプログレスインジケーターのエスケープシーケンスを発行しません。これらは、一部の端末エミュレーターによって通知として解釈されます。
        - libflatpak のイントロスペクション注釈を修正します。

      - 拡張機能:

        - 1.15.91 で追加されたターミナル進捗インジケーターのエスケープシーケンスを再有効化する FLATPAK_TTY_PROGRESS 環境変数を追加します。
        - FLATPAK_FANCY_OUTPUT 環境変数を文書化します。これにより、ターミナルに出力する際の装飾フォーマッティングを無効にすることができます。

    - バージョン 1.15.91 (不安定版) への更新:

      - 拡張機能:

        - FLATPAK_DATA_DIR 環境変数を追加します。これにより、Flatpak がリモートなどの構成ファイルの検索に使用するデータディレクトリの場所をランタイムにオーバーライドできます。これは、テストを実行する場合や、chroot で Flatpak をインストールする場合に便利です。
        - FLATPAK_DOWNLOAD_TMPDIR 変数を追加します。これにより、/var/tmp 以外のダウンロードディレクトリを使用できます。
        - 進捗エスケープシーケンスを放出します。ターミナルエミュレーターでこれを使用すると、Flatpak 操作の進行状況を検出し、グラフィカルユーザーインターフェースに表示できます。

      - バグの修正：

        - 欠落しているテストデータをインストールします。これにより、たとえば Debian の autopkgtest フレームワークで使用される ginsttest-runner を介した「as-installed」テストが修正されます。
        - Wayland ソケットがサンドボックス化されたアプリに渡される方法を統一および改善します。これにより、Flatpak アプリを起動するときに、security-context-v1 プロトコルを実装し、WAYland_DISPLAY 環境変数を設定するコンポジターによって発生する回帰が修正されるはずです。
        - 翻訳可能な文字列の複数形を修正します。

    バージョン 1.15.12 への更新:

      - cgroup 名における Flatpak アプリのプロセス ID の使用に戻ります。1.15.11 のインスタンス ID を使用すると、「追加データ」メカニズムを使用するアプリ、拡張機能、またはランタイムをインストールする際にクラッシュが発生します。これにより、インスタンス ID が設定されません。

    バージョン 1.15.11 からの変更:

      - 依存関係:

        - 別の xdg-dbus-proxy 実行可能ファイルを使用するために Flatpak をコンパイルするディストリビューションでは、バージョン 0.1.6 が推奨されます (ただし必須ではありません)。
        - xdg-dbus-proxy の最小値は 0.1.0 のままです。

      - 拡張機能:

        - WebKit などのアプリケーションが、サブサンドボックスのプロセスの AT-SPI アクセシビリティツリーをメインプロセスのツリーと接続できるようにします。
          。新しいサンドボックスパラメーター flatpak は --a11y-own-name を実行します。これは --own-name と類似していますが、アクセシビリティバス用です。
          flatpak-portal API v7: 新しい sandbox-a11y-own-names オプションを追加します。これは、${FLATPAK_ID}.* に一致する名前を受け入れます。デフォルトでは ${FLATPAK_ID}.Sandboxed.* に一致する名前で、アプリが org.a11y.atspi.Socket.Embedded メソッドを呼び出す可能性があります。flatpak run -vv $app_id は、適用可能なすべてのサンドボックス化パラメーターとそのソースを、オーバーライドを含めてデバッグメッセージとして表示します
        - USB デバイスリストを導入します。アプリは、--usb パラメーターを使用することで、アクセスする必要がある USB デバイスを事前にリストできます。受け入れられる構文の詳細については、man ページをチェックしてください。
          。USB デバイスへのアクセス拒否は、
            --no-usb パラメーターでも可能です。構文はと同じです --usb。
          。どちらのオプションもメタデータを保存するだけで、Flatpak 自体では使用されません。このメタデータは、アプリがアクセスを列挙およびリクエストできるデバイスを決定するために、(現時点ではまだ進行中の) USB ポータルで使用することを目的としています。
        - KDE 検索完了のサポートを追加します
        - Flatpak アプリのインスタンス ID を cgroup 名の一部として使用します。これにより、cgroup の命名規則との整合性が向上します。

      - バグの修正：

        - libglnx を 2024 年 8 月 23 日に更新:
        - openSUSE Tumbleweed など、-Werror=return-type を使用する環境のビルドを修正します
        - 古い GLib での G_PID_FORMAT のフォールバック定義を追加します
        - 新しい GLib での g_steal_fd() に対する警告を回避します
        - 新しい GLib と g_closefrom() バックポートの互換性を改善します
        - xdg-dbus-proxy の meson ラップファイルをバージョン 0.1.6 に更新します。
        - sd-bus や zbus など、認証ハンドシェイクをパイプライン処理する D-Bus 実装との互換性
        - godbus や zbus などの不連続なシリアル番号を使用する D-Bus 実装との互換性
        - ブロードキャスト信号は、TALK 権限を追加することなく許可される可能性があります
        - メモリリークを修正します

      - 内部変更:

        - const-correctness の向上
        - テストの shellcheck 警告を修正します

    - 証明書転送のために p11-kit-server に弱い dep を追加 (boo#1188902)
    - 「-Dmalcontent=disabled」を使用してペアレンタルコントロールを当面無効にし、xdg-desktop-portal の問題を回避します

    バージョン 1.14.10 への更新:

      - 依存関係: 別の bubblewrap (bwrap) 実行可能ファイルを使用するために Flatpak をコンパイルするディストリビューションでは、バージョン 0.10.0、バージョン 0.6.x 0.6.3、または
        --bind-fd オプションのバックポートを持つバージョンが必要です。これらのバージョンでは、このリリースのセキュリティ修正に必要な新しい機能が追加されています。
      - セキュリティ修正: 永続ディレクトリをマウントする際にシンボリックリンクをたどりません (--persist オプション)。これにより、悪意のあるアプリや危険にさらされているアプリが、シンボリックリンクを編集して、アプリに読み取りや書き込みが許可されていないはずのディレクトリを指し示すような、サンドボックスの回避を防ぐことができます。(bsc#1229157、CVE-2024-42472、GHSA-7hgv-f2j8-xw87)
      - ドキュメント: 1.12.x および 1.10.x ブランチをサポート終了としてマークします (#5352)
      - バージョン 1.14.9 は、GLib の古いバージョンとの非互換性によりリリースされませんでした。バージョン 1.14.10 により置き換えられます。

    バージョン 1.14.8 への更新:

      - 変更なし。このリリースは、リリース tarball 内の一致しないサブモジュールバージョンを修正するためにロールアウトされています。

    バージョン 1.14.7 への更新:

      - 新機能: アプリをインストールまたはアップグレードした後に、D-Bus セッションバス構成を自動的にリロードし、エクスポートされた D-Bus サービスを選択します (#3342)
      - バグの修正：
        - Flatpak アプリがホストシステムから継承しない環境変数のリストを展開します (#5765、#5785)
        - D-Bus system バスが利用できないときにアプリの起動を拒否しません (#5076)
        - データが新しい名前に移行された後に削除されたアプリの移行を繰り返しません (#5668)
        - 新しい GLib バージョンからの警告を修正します (#5660)
        - コンテナ環境変数を常に設定します (#5610)
        - flatpak ps で、どのアプリがバックグラウンドで実行されているかを知るために使用するバックエンドのリストに、xdg-desktop-portal-gnome を追加します (#5729)
        - 一時変数が /etc/profile.d/flatpak.sh からシェル環境に漏洩することを回避します (#5574)
        - ハッシュテーブルにオブジェクト ID を保存する際の、符号付き左シフトの未定義の動作を回避します (#5738)
        - ドキュメントにおける Docbook の有効性の修正 (#5719)
        - FUSE が利用できない場合にさらにテストをスキップします (#5611)
        - CVE-2024-32462 のテストにある誤解を招くコメントを修正します (#5779)
      - 内部変更:
        - Github ワークフローのレシピを修正します

    バージョン 1.14.6 への更新:

      - セキュリティ修正：
        - 実行可能な名前が bwrap(1) のコマンドラインオプションとして間違って解釈されないようにします。これにより、悪意のある、または危険にさらされているアプリが、サンドボックス外のファイルにアクセスできる .desktop ファイルを生成するように xdg-desktop-portal に要求する可能性のあるサンドボックス回避を防ぎます。(CVE-2024-32462、bsc#1223110)
      - その他のバグ修正:
        - アプリケーション名として <developer><name/></developer> を解析しません (#5700)

    balloonwrap の変更:

    0.11.0 に更新:

     * 新しい --overlay、--tmp-overlay、--ro-overlay および --overlay-src オプションにより、オーバーレイマウントを作成できます。この機能は、bubblewrap が setuid でインストールされている場合は利用できません。
     * 新しい --level-prefix オプションは、logger --prio-prefix や systemd-cat --level-prefix=1 などのツールで解析できる出力を生成します
     * バグ修正と開発者の目に見える変更

    バージョン v0.10.0 への更新:

     * 新機能: --[ro-]bind-fd オプションが追加されます。これは、time-of-check/time-of-use 攻撃なしに、ファイル記述子によって表されるファイルシステムをマウントするために使用できます。これは Flatpak のセキュリティ問題を解決する際に必要です。
       (CVE-2024-42472、bsc#1229157)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
236046	Alibaba Cloud Linux 3 : 0127: flatpak (ALINUX3-SA-2024:0127)	Nessus	Alibaba Cloud Linux Local Security Checks	2025/5/14	2025/5/14	high
214292	SUSE SLED15 / SLES15 / openSUSE 15 : Recommended update for bubblewrap, flatpak, wayland-protocols (SUSE-SU-SUSE-RU-2025:0145-1)	Nessus	SuSE Local Security Checks	2025/1/17	2025/8/20	critical
195148	SUSE SLES12 セキュリティ更新 : flatpak (SUSE-SU-2024:1548-1)	Nessus	SuSE Local Security Checks	2024/5/8	2024/5/8	high
200655	RHEL 8 : flatpak (RHSA-2024:3962)	Nessus	Red Hat Local Security Checks	2024/6/17	2024/11/7	high
200681	Oracle Linux 9 : flatpak (ELSA-2024-3959)	Nessus	Oracle Linux Local Security Checks	2024/6/18	2025/9/9	high
198133	SUSE SLES15 のセキュリティ更新 : xdg-desktop-portal (SUSE-SU-2024:1831-1)	Nessus	SuSE Local Security Checks	2024/5/30	2024/5/30	high
198139	SUSE SLES15 のセキュリティ更新 : xdg-desktop-portal (SUSE-SU-2024:1806-1)	Nessus	SuSE Local Security Checks	2024/5/30	2024/5/30	high
200699	Oracle Linux 7: flatpak (ELSA-2024-3980)	Nessus	Oracle Linux Local Security Checks	2024/6/18	2025/9/9	high
200737	AlmaLinux 9flatpakALSA-2024:3959	Nessus	Alma Linux Local Security Checks	2024/6/19	2024/6/19	high
201250	Rocky Linux 9flatpakRLSA-2024:3959	Nessus	Rocky Linux Local Security Checks	2024/7/2	2024/7/2	high
214292	SUSE SLED15 / SLES15 / openSUSE 15: bubblewrap、flatpak、wayland-protocols の推奨更新 (SUSE-SU-SUSE-RU-2025:0145-1)	Nessus	SuSE Local Security Checks	2025/1/17	2025/8/20	critical

偵測

搜尋 Plugin

high

critical

high

high

high

high

high

high

high

high

critical