There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Versions of the package jsonpath before 1.3.0 are vulnerable to Arbitrary Code Injection via unsafe
    evaluation of user-supplied JSON Path expressions. The library relies on the static-eval module to process
    JSON Path input, which is not designed to handle untrusted data safely. An attacker can exploit this
    vulnerability by supplying a malicious JSON Path expression that, when evaluated, executes arbitrary
    JavaScript code, leading to Remote Code Execution in Node.js environments or Cross-site Scripting (XSS) in
    browser contexts. This affects all methods that evaluate JSON Paths against objects, including .query,
    .nodes, .paths, .value, .parent, and .apply. (CVE-2026-1615)

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20239-1 アドバイザリで言及されています。

    - CVE-2026-25547: 過剰な CPU およびメモリ消費を引き起こすブレース範囲の拡張を修正しました。(bsc#1257841)
    - CVE-2026-1615: jsonpath でのユーザー指定の JSON Path 式の安全でない評価による、任意のコードインジェクションを修正しました。(bsc#1257897)
    - CVE-2025-61140: jsonpath におけるプロトタイプ汚染の脆弱性を持つ関数が修正されました。(bsc#1257442)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:1008-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    golang-github-prometheus-alertmanager、 golang-github-prometheus-node_exporter

    - 顧客に影響を与えないビルド問題を修正する内部変更

    golang-github-prometheus-prometheus:

    - 修正されたセキュリティ問題:

      * CVE-2026-27606ロールアップのパストラバーサルによる任意のファイル書き込みを修正しましたbsc#1258893
      * CVE-2026-25547CPU とメモリの過剰消費を引き起こす無制限のブレース範囲拡張を修正bsc#1257841
      * CVE-2026-1615、 CVE-2025-61140 セキュリティの問題により、古い Web UI はもはや構築されませんbsc#1257897、 bsc#1257442]
      * CVE-2025-13465lodash パッケージをバージョン 4.17.23 に更新し、プロトタイプ汚染の脆弱性を修正しますbsc#1257329
      * CVE-2025-12816暗号化検証のバイパスを可能にする解釈競合の脆弱性bsc#1255588

    - 次のハイライトされた変更を含む 2.53.4 から 3.5.0 へのバージョン更新jsc#PED-13824

      * 現代化されたインターフェイス全く新しい UI を導入しました
      * クラウドおよび認証の強化: AWS サービス検出 (EC2、ECS、Lightsail) および Azure Workload Identity サポートが追加され、より安全なネイティブクラウド認証が可能になりました。
      * パフォーマンス標準OpenTelemetryOTLP取り込みを完全に統合し、ネイティブ Histogram を実験的な機能から安定版stable機能へ移動しました。
      * 高度なデータエクスポートリモート書き込みをロールアウト 2.0、データを外部システムに送信する際にパフォーマンスとメタデータ処理が向上しました。
      * クエリパワーPromQL 関数first_over_time や last_over_time などを追加し、グループ化操作を最適化しました。
      * 可視性の向上: UI に詳細な再ラベル付け手順、ス細工間隔、タイムアウトが表示されるようになり、ターゲットが正しく報告されない理由のトラブルシューティングが容易になりました。
      * 重要修正クエリロギングに関連する重大なメモリ漏洩を解決し、ターゲットが意図せず複数回スケープされるバグを修正しました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ openSUSE 15 ホストには、SUSE-SU-2026:1013-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    dracut-saltboot:

    - 1.1.0 へのバージョン更新:

      * DHCP リクエストを最大 3 回再試行します (bsc#1253004)

    golang-github-QubitProducts-exporter_exporter:

    - 非顧客対応の最適化と更新

    golang-github-boynux-squid_exporter:

    - 次のハイライトされた変更と修正を含む 1.6.0 から 1.13.0 へのバージョン更新 (jsc#PED-14971):

      * Squid 6 に対する互換性および squid-internal-mgr メトリクスパスに対するサポートを追加しました
      * TLS および基本認証をエクスポーターウェブインターフェースに追加しました
      * Squid プロキシ自体に対して認証するためのエクスポージャーのサポートを追加しました
      * root 権限を必要とせずにプロセス情報を収集できるようにします
      * エクスポーターは、環境変数を使用して設定できるようになりました
      * データフィルタリングを改善するために、すべてのエクスポートされたメトリクスにカスタムラベルのサポートを追加しました
      * Squid が実行中かどうか (squid_up)、スクレイプにかかる時間、エラーが発生したかどうかを追跡するための新しいメトリクス
      * プロキシの速度とパフォーマンスを分析するために「サービス時間」メトリクスを追加しました。
      * 接続のボトルネックを防ぐために、オープンファイル記述子のメトリクス (process_open_fds) を追加しました
      * 正確なレポートを確保するために、squid_client_http_requests_total メトリクスを修正しました


    golang-github-lusitaniae-apache_exporter:

    - 1.0.8 から 1.0.10 へのバージョン更新:

      * github.com/prometheus/client_golang を 1.21.1 に更新しました 
      * github.com/prometheus/common を 0.63.0 に更新しました 
      * github.com/prometheus/exporter-toolkit を 0.14.0 に更新しました 
      * シグナルハンドラーロギングを修正しました

    golang-github-prometheus-prometheus:

    - 修正されたセキュリティ問題:

      * CVE-2026-27606: ロールアップのパストラバーサルによる任意のファイル書き込みを修正しました (bsc#1258893)
      * CVE-2026-25547: 過剰な CPU およびメモリ消費を引き起こすブレース範囲の拡張を修正しました (bsc#1257841)
      * CVE-2026-1615、CVE-2025-61140 セキュリティの問題により、古い Web UI はもはや構築されません (bsc#1257897、bsc#1257442)
      * CVE-2025-13465: lodash パッケージをバージョン 4.17.23 に更新し、プロトタイプ汚染の脆弱性を修正します (bsc#1257329)
      * CVE-2025-12816: 暗号化検証のバイパスを可能にする解釈競合の脆弱性 (bsc#1255588)

    - 次のハイライトされた変更を含む 2.53.4 から 3.5.0 へのバージョン更新 (jsc#PED-13824):

      * インターフェースの刷新: 全く新しい UI を導入しました
      * クラウドおよび認証の強化: AWS サービス検出 (EC2、ECS、Lightsail) および Azure Workload Identity サポートが追加され、より安全なネイティブクラウド認証が可能になりました。
      * パフォーマンス標準: OpenTelemetry (OTLP) 取り込みを完全に統合し、ネイティブヒストグラムを実験的機能から安定版機能へ移行しました。
      * 高度なデータエクスポート: リモート書き込み 2.0 をロールアウトし、データを外部システムに送信する際にパフォーマンスとメタデータ処理が向上しました。
      * クエリパワー: PromQL 関数 (first_over_time や last_over_time など) を追加し、グループ化操作を最適化しました
      * 可視性の向上: UI に詳細な再ラベル付け手順、スクレイプ間隔、タイムアウトが表示されるようになり、ターゲットが正しく報告されない理由のトラブルシューティングが容易になりました。
      * 重要な修正: クエリロギングに関連する重大なメモリ漏洩を解決し、ターゲットが意図せず複数回スクレイプされるバグを修正しました

    grafana:

    - 修正されたセキュリティ問題:

      * CVE-2026-21722: 公開ダッシュボード注釈: 時間選択が無効な場合はダッシュボードの時間範囲を使用します (bsc#1258136)
      * CVE-2026-21721: ダッシュボードアクセス許可 API によるアクセスコントロールを修正しました (bsc#1257337)
      * CVE-2026-21720: 認証されていない DoS を修正しました (bsc#1257349)
      * CVE-2025-68156: ビルトイン関数の無限再帰を通じた潜在的な DoS を修正しました (bsc#1255340)
      * CVE-2025-3415: DingDing アラート統合 URL のビューアーレベルユーザーへの漏洩を修正しました (bsc#1245302)

    - 次のハイライトされた変更と修正を含む 11.5.10 から 11.6.11 へのバージョン更新:

      * パフォーマンス向上: よりスムーズなマップ視覚化のために WebGL ベースのジオマップを導入し、UI オーバーレイからぼやけた背景を削除してインターフェースを高速化しました
      * ワンクリックアクション: ビジュアライゼーションで、ワンクリックのリンクとアクションを介したよりすばやいナビゲーションをサポートするようになりました
      * アラート履歴: アラートルールにバージョン履歴が追加され、時間の経過に伴う変更を追跡できるようになりました
      * サービスアカウント: 起動時に古い API キーをより安全なサービスアカウントに自動的に移行するようにしました
      * Cron サポート: 注釈では、より柔軟なスケジューリングのために Cron 構文をサポートするようになりました
      * ID および認証: Avatar 機能を強化し (現在はサインインが必要)、Grafana がサブパスでホストされている場合のいくつかのログインリダイレクト問題を修正しました
      * データソースのサポート: Cloud Partner Prometheus データソースのサポートを追加し、Azure 凡例フォーマットを改善しました
      * アラート制限: システムのストレスを回避するために、拡張された通知テンプレートのサイズ制限を追加しました
      * RBAC: ロールベースのアクセスコントロール (RBAC) を、reqAction フィールドを通じて Alertmanager に統合しました
      * データの一貫性: 繰り返しの行またはネスト化されたクエリで変数が処理される方法に関する Graphite と InfluxDB のいくつかの問題を修正しました
      * ダッシュボードの信頼性: 行の繰り返しと「自己参照」データリンクに関連するバグを解決しました
      * アラート修正: アラートルールの競合状態によって引き起こされる重大な「パニック」(クラッシュ) にパッチが適用され、連絡先が正しく機能しない問題が修正されました
      * URL 処理: URL パラメーターの「true」値が正しく読み取られなかったバグを修正しました

    prometheus-blackbox_exporter:

    - 非顧客対応の最適化と更新

    spacecmd: 

    - 5.0.15 へのバージョン更新:

      * spacecmd のヘルプ ca-cert フラグにある誤字を修正しました (bsc#1253174)
      * キャッシュされた ID を整数値に変換します (bsc#1251995)
      * spacecmd のバイナリファイルのアップロードを修正しました (bsc#1253659)

    uyuni-tools:

    - 0.1.38 へのバージョン更新:

      * スタンドアロンファイルに移行する際の cobbler 構成を修正しました (bsc#1256803)
      * /etc/uyuuni/proxy フォルダーのカスタム apache および squid 構成を検出します
      * sshd を構成するために ssh 調整を追加します (bsc#1253738)
      * Supportconfig エラーを無視します (bsc#1255781)
      * デフォルトのイメージタグを 5.0.7 へ更新
      * podman コンテナ用の cgroup マウントを削除 (bsc#1253347)
      * レジストリフラグは文字列の可能性があります (bsc#1254589)
      * 静的 supportconfig 名を使用して動的検索を回避 (bsc#1257941)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:1013-1 advisory.

    dracut-saltboot:

    - Version update to 1.1.0:

      * Retry DHCP requests up to 3 times (bsc#1253004)

    golang-github-QubitProducts-exporter_exporter:

    - Non-customer-facing optimization and update

    golang-github-boynux-squid_exporter:

    - Version update from 1.6.0 to 1.13.0 with the following highlighted changes and fixes (jsc#PED-14971):

      * Added compatibility for Squid 6 and support for the squid-internal-mgr metrics path
      * Added TLS and Basic Authentication to the exporters web interface
      * Added support for the exporter to authenticate against the Squid proxy itself
      * Allow the gathering of process information without requiring root privileges
      * The exporter can now be configured using environment variables
      * Added support for custom labels to all exported metrics for better data filtering
      * New metrics to track if Squid is running (squid_up), how long a scrape takes, and if any errors     occurred
      * Added 'service time' metrics to analyze proxy speed and performance.
      * Added a metric for open file descriptors (process_open_fds) to help prevent connection bottlenecks
      * Corrected the squid_client_http_requests_total metric to ensure accurate reporting


    golang-github-lusitaniae-apache_exporter:

    - Version update from 1.0.8 to 1.0.10:

      * Updated github.com/prometheus/client_golang to 1.21.1
      * Updated github.com/prometheus/common to 0.63.0
      * Updated github.com/prometheus/exporter-toolkit to 0.14.0
      * Fixed signal handler logging

    golang-github-prometheus-prometheus:

    - Security issues fixed:

      * CVE-2026-27606: Fixed arbitrary file write via path traversal in rollup (bsc#1258893)
      * CVE-2026-25547: Fixed unbounded brace range expansion leading to excessive CPU and memory consumption     (bsc#1257841)
      * CVE-2026-1615, CVE-2025-61140 The old web UI is no longer built due to security issues (bsc#1257897,     bsc#1257442)
      * CVE-2025-13465: Bump lodash package to version 4.17.23 to fix prototype pollution vulnerability     (bsc#1257329)
      * CVE-2025-12816: Interpretation conflict vulnerability allowing bypassing cryptographic verifications     (bsc#1255588)

    - Version update from 2.53.4 to 3.5.0 with the following highlighted changes (jsc#PED-13824):

      * Modernized Interface: Introduced a brand-new UI
      * Enhanced Cloud and Auth: Added unified AWS service discovery (EC2, ECS, Lightsail) and Azure Workload     Identity support         for more secure, native cloudauthentication.
      * Performance Standards: Fully integrated OpenTelemetry (OTLP) ingestion and moved Native Histograms     from experimental         to a stable feature.
      * Advanced Data Export: Rolled out Remote Write 2.0, offering better performance and metadata handling     when sending         data to external systems.
      * Query Power: Added new PromQL functions (like first_over_time and last_over_time) and optimization for     grouping         operations
      * Better Visibility: The UI now displays detailed relabeling steps, scrape intervals, and timeouts,     making it easier         to troubleshoot why targets aren't reporting correctly.
      * Critical Fixes: Resolved significant memory leaks related to query logging and fixed bugs where     targets were         accidentally being scraped multiple times

    grafana:

    - Security issues fixed:

      * CVE-2026-21722: Public dashboards annotations: use dashboard timerange if time selection disabled     (bsc#1258136)
      * CVE-2026-21721: Fixed access control by the dashboard permissions API (bsc#1257337)
      * CVE-2026-21720: Fixed unauthenticated DoS (bsc#1257349)
      * CVE-2025-68156: Fixed potential DoS via unbounded recursion in builtin functions (bsc#1255340)
      * CVE-2025-3415: Fixedexposure of DingDing alerting integration URL to Viewer level users (bsc#1245302)

    - Version update from 11.5.10 to 11.6.11 with the following highlighted changes and fixes:

      * Performance Boost: Introduced WebGL-powered geomaps for smoother map visualizations and         removed blurred backgrounds from UI overlays to speed up the interface
      * One-Click Actions: Visualizations now support faster navigation via one-click links and actions
      * Alerting History: Added version history for alert rules, allowing you to track changes over time
      * Service Accounts: Automated the migration of old API keys to more secure Service Accounts upon startup
      * Cron Support: Annotations now support Cron syntax for more flexible scheduling
      * Identity and Auth: Hardened the Avatar feature (now requires sign-in) and fixed several login     redirection issues         when Grafana is hosted on a subpath
      * Data Source Support: Added support for Cloud Partner Prometheus data sources and improved Azure legend     formatting
      * Alerting Limits: Added size limits for expanded notification templates to prevent system strain
      * RBAC: Integrated Role-Based Access Control (RBAC) into the Alertmanager via the reqAction field
      * Data Consistency: Fixed several issues with Graphite and InfluxDB regarding how variables are handled     in repeated         rows or nested queries
      * Dashboard Reliability: Resolved bugs involving row repeats and 'self-referencing' data links
      * Alerting Fixes: Patched a critical 'panic' (crash) caused by a race condition in alert rules and fixed     issues where         contact points weren't working correctly
      * URL Handling: Fixed a bug where 'true' values in URL parameters weren't being read correctly

    prometheus-blackbox_exporter:

    - Non-customer-facing optimization and update

    spacecmd:

    - Version update to 5.0.15:

      * Fixed typo in spacecmd help ca-cert flag (bsc#1253174)
      * Convert cached IDs to integer values (bsc#1251995)
      * Fixed spacecmd binary file upload (bsc#1253659)

    uyuni-tools:

    - Version update to 0.1.38:

      * Fixed cobbler configuration when migrating to standalone files (bsc#1256803)
      * Detect custom apache and squid config in the /etc/uyuni/proxy folder
      * Add ssh tuning to configure sshd (bsc#1253738)
      * Ignore supportconfig errors (bsc#1255781)
      * Bumped the default image tag to 5.0.7
      * Removed cgroup mount for podman containers (bsc#1253347)
      * Registry flag can be a string (bsc#1254589)
      * Use static supportconfig name to avoid dynamic search (bsc#1257941)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20239-1 advisory.

    - CVE-2026-25547: Fixed an unbounded brace range expansion leading to excessive CPU and memory     consumption. (bsc#1257841)
    - CVE-2026-1615: Fixed arbitrary code injection due to unsafe evaluation of user-supplied JSON Path     expressions in jsonpath. (bsc#1257897)
    - CVE-2025-61140:  Fixed a function vulnerable to prototype pollution in jsonpath. (bsc#1257442)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:1008-1 advisory.

    golang-github-prometheus-alertmanager, golang-github-prometheus-node_exporter:

    - Internal changes to fix build issues with no impact for customers

    golang-github-prometheus-prometheus:

    - Security issues fixed:

      * CVE-2026-27606: Fixed arbitrary file write via path traversal in rollup (bsc#1258893)
      * CVE-2026-25547: Fixed unbounded brace range expansion leading to excessive CPU and memory consumption     (bsc#1257841)
      * CVE-2026-1615, CVE-2025-61140 The old web UI is no longer built due to security issues (bsc#1257897,     bsc#1257442)
      * CVE-2025-13465: Bump lodash package to version 4.17.23 to fix prototype pollution vulnerability     (bsc#1257329)
      * CVE-2025-12816: Interpretation conflict vulnerability allowing bypassing cryptographic verifications     (bsc#1255588)

    - Version update from 2.53.4 to 3.5.0 with the following highlighted changes (jsc#PED-13824):

      * Modernized Interface: Introduced a brand-new UI
      * Enhanced Cloud and Auth: Added unified AWS service discovery (EC2, ECS, Lightsail) and Azure Workload     Identity support         for more secure, native cloudauthentication.
      * Performance Standards: Fully integrated OpenTelemetry (OTLP) ingestion and moved Native Histograms     from experimental         to a stable feature.
      * Advanced Data Export: Rolled out Remote Write 2.0, offering better performance and metadata handling     when sending         data to external systems.
      * Query Power: Added new PromQL functions (like first_over_time and last_over_time) and optimization for     grouping         operations.
      * Better Visibility: The UI now displays detailed relabeling steps, scrape intervals, and timeouts,     making it easier         to troubleshoot why targets aren't reporting correctly.
      * Critical Fixes: Resolved significant memory leaks related to query logging and fixed bugs where     targets were         accidentally being scraped multiple times.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
437714	SCA: security update for jsonpath (GHSA-87r5-mp6g-5w5j)	Tenable Cloud Security	SCA Checks	2026/2/13	2026/10/6	critical
437714	SCA: security update for jsonpath (GHSA-87r5-mp6g-5w5j)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/13	2026/10/6	critical
299512	openSUSE 16 セキュリティ更新 : golang-github-prometheus-prometheus (openSUSE-SU-2026:20239-1)	Nessus	SuSE Local Security Checks	2026/2/19	2026/2/19	critical
303785	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新PrometheusSUSE-SU-2026:1008-1	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical
303779	SUSE SLES15:dracut-saltboot / golang-github-QubitProducts-exporter_exporter / etc(SUSE-SU-2026:1013-1)	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical
303779	SUSE SLES15: dracut-saltboot / golang-github-QubitProducts-exporter_exporter / etc (SUSE-SU-2026:1013-1)	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical
299512	openSUSE 16 Security Update : golang-github-prometheus-prometheus (openSUSE-SU-2026:20239-1)	Nessus	SuSE Local Security Checks	2026/2/19	2026/2/19	critical
303785	SUSE SLED15: firewalld-prometheus-config / golang-github-prometheus-alertmanager / etc (SUSE-SU-2026:1008-1)	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical