远程 Redhat Enterprise Linux 10 / 9 主机上安装的程序包受到 RHSA-2026:68334 公告中提及的多个漏洞影响。

    Red Hat Edge Manager （RHEM） 为边缘设备和应用程序提供简单、可扩展且注重安全的管理。它支持 Podman/Docker 或 Kubernetes 上运行的映像模式 RHEL 和容器工作负载。

    RHEM 现在作为独立功能提供，为边缘部署提供了更大的灵活性。除了独立版本外，RHEM 还继续作为以下平台的插件提供：

    Red Hat Advanced Cluster Management （RHACM）：将队列管理扩展到边缘设备。
    Red Hat Ansible 自动化平台 （AAP）：将边缘管理与 Ansible 自动化集成。

    这种集成使组织能够优化其边缘设备群的管理和编排;无论是数千个分散的零售销售点系统，还是偏远工厂车间的工业机械。

    对客户和合作伙伴的价值：

    * 该解决方案不仅可以帮助客户管理数千台设备，还有助于扩展运营。
    * 要管理大规模部署，客户需要能够与其现有管理系统集成，支持远程配置和无线更新，并收集遥测数据以进行高级分析。
    * Red Hat Edge Manager 提供简单且注重安全的生命周期管理，从边缘设备的载入到停用。

    这种完整的端到端解决方案使组织能够从生成数据的设备群中获得最大价值，所有这些都来自一个集中位置。

    安全修复：

    * flightctl：golang.org/x/net/html：通过跨站脚本执行任意代码 （CVE-2026-25681）
    * flightctl：golang.org/x/net/html：通过 HTML 解析绕过 （CVE-2026-27136） 的跨站脚本
    * flightctl：golang crypto/x509：通过过量处理 DNS SAN 条目 （CVE-2026-27145） 造成拒绝服务
    * flightctl：Go crypto/x509：由于错误的 DNS 限制应用导致证书验证绕过 （CVE-2026-33810）
    * flightctl：Go encoding/asn1：通过解封中的过多递归造成拒绝服务 （CVE-2026-33818）
    * flightctl：Go net/mail：通过构建的电子邮件输入造成拒绝服务 （CVE-2026-39820）
    * flightctl：golang.org/x/crypto/ssh：由于缺少用户状态检查 （CVE-2026-39831） 导致的安全密钥绕过
    * flightctl：OpenTelemetry-Go：通过超大行李标头造成的拒绝服务 （CVE-2026-41178）
    * flightctl：Moby 容器框架：通过 docker cp 挂载设置 （CVE-2026-42306） 中的争用条件覆盖主机文件
    * flightctl：net/mail：通过病态电子邮件地址解析 （CVE-2026-42499） 造成拒绝服务
    * flightctl：Golang MIME：通过恶意构建的 MIME 标头造成的拒绝服务 （CVE-2026-42504）
    * flightctl：Billy：由于验证不足，通过构建的输入造成拒绝服务 （CVE-2026-44740）
    * flightctl：golang.org/x/crypto/ssh：通过构建的 AES-GCM 数据包解码器输入造成的拒绝服务 （CVE-2026-46597）
    * flightctl：Arc：通过未经身份验证的调试端点 （CVE-2026-48050） 导致的信息泄露和拒绝服务
    * flightctl：golang.org/x/text：通过无效 UTF-8 输入 （CVE-2026-56852） 造成拒绝服务
    * flightctl：Go net/http：未加密的 HTTP/2 连接容易遭受拒绝服务攻击 （CVE-2026-56853）
    * flightctl：Go html/template：通过病态输入 （CVE-2026-56858） 的跨站脚本
    * flightctl： Go：通过 XML 解码递归深度问题 （CVE-2026-56859） 导致的拒绝服务
    * flightctl：golang net/url：路径解析中的二次复杂度导致的拒绝服务 （CVE-2026-56860）
    * flightctl：Golang crypto/tls：通过无限期 KeyUpdate 消息 （CVE-2026-56862） 造成拒绝服务
    * flightctl：PostCSS：通过构建的 sourceMappingURL （CVE-2026-69153） 造成信息泄露
    * flightctl：go-git：通过符号链接解析 （CVE-2026-71556） 进行任意文件读取/写入
    * flightctl：MongoDB Go 驱动程序：通过 Client.BulkWrite （CVE-2026-81521） 中未经验证的数据库名称写入重定向

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - MongoDB Go 驅動程式的用戶端層級大量寫入作業可能會接受呼叫端提供的資料庫名稱，其中包含保留的分隔字元，而不會在使用該名稱來建置作業的目標命名空間之前逸出它。因此，將不受信任的輸入作為資料庫名稱傳遞的應用程式可能會將寫入導向資料庫和集合，而不是其預期的資料庫和集合。只有 Client.BulkWrite API 會受到影響。（CVE-2026-81521）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MongoDB Go 驱动程序的客户端级批量写入操作可接受调用程序提供的包含保留分隔符的数据库名称，但在使用该名称构建操作的目标命名空间之前未对其进行转义。将不受信任的输入作为数据库名称传递的应用程序可因此针对数据库和集合进行写入，而不是其预期的数据库和集合。只有 Client.BulkWrite API 会受到影响。（CVE-2026-81521）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Redhat Enterprise Linux 10/9 主機上安裝的套件受到 RHSA-2026:68334 公告中提及的多個弱點影響。

    Red Hat Edge Manager （RHEM） 為邊緣裝置和應用程式提供簡單、可擴展且注重安全性的管理。它支援在 Podman/Docker 或 Kubernetes 上執行的映像模式 RHEL 和容器工作負載。

    RHEM 現在可作為獨立功能使用，為邊緣部署提供更大的靈活性。除了獨立版本外，RHEM 繼續作為以下平台的插件提供：

    Red Hat Advanced Cluster Management （RHACM）：將叢集管理延伸至邊緣裝置。
    Red Hat Ansible 自動化平台 （AAP）：將邊緣管理與 Ansible 自動化整合。

    這種整合使組織能夠優化其邊緣設備群的管理和編排;無論是數千個分散的零售銷售點系統，還是偏遠工廠車間的工業機械。

    對客戶和合作夥伴的價值：

    * 此解決方案不僅可以幫助客戶管理數千台設備，還有助於擴展運營。
    * 若要管理大規模部署，客戶需要能夠與現有管理系統整合、支援遠端設定和無線更新，以及收集遙測資料以進行進階分析。
    * Red Hat Edge Manager 提供簡單且以安全為中心的生命週期管理，從邊緣裝置的上線到淘汰。

    這個完整的端到端解決方案使組織能夠從生成數據的設備群中獲得最大價值，所有這些都來自一個集中位置。

    安全性修正：

    * flightctl： golang.org/x/net/html：透過跨網站指令碼執行任意程式碼 （CVE-2026-25681）
    * flightctl： golang.org/x/net/html：透過 HTML 剖析繞過 （CVE-2026-27136） 的跨網站指令碼
    * flightctl：golang crypto/x509：透過過度處理 DNS SAN 項目造成拒絕服務 （CVE-2026-27145）
    * flightctl：Go crypto/x509：由於 DNS 限制應用程式不正確而導致繞過憑證驗證 （CVE-2026-33810）
    * flightctl：Go encoding/asn1：透過 Unmarshal 中的過度遞迴造成拒絕服務 （CVE-2026-33818）
    * flightctl：Go net/mail：透過特製的電子郵件輸入 （CVE-2026-39820） 造成拒絕服務
    * flightctl：golang.org/x/crypto/ssh：由於缺少使用者存在檢查 （） 而導致的安全金鑰繞過 （CVE-2026-39831）
    * flightctl： OpenTelemetry-Go：透過超大行李標頭 （CVE-2026-41178） 造成拒絕服務
    * flightctl： Moby 容器架構：透過 docker cp 掛載設定 （CVE-2026-42306） 中的爭用情形覆寫主機檔案
    * flightctl： net/mail：透過病態電子郵件地址剖析 （CVE-2026-42499） 造成拒絕服務
    * flightctl：Golang MIME：透過惡意製作的 MIME 標頭 （CVE-2026-42504） 造成拒絕服務
    * flightctl：Billy：由於驗證不足，透過特製輸入拒絕服務 （CVE-2026-44740）
    * flightctl： golang.org/x/crypto/ssh：透過特製的 AES-GCM 封包解碼器輸入 （CVE-2026-46597） 造成拒絕服務
    * flightctl： Arc：透過未經驗證的除錯端點 （） 的資訊洩露和拒絕服務 （CVE-2026-48050）
    * flightctl： golang.org/x/text：透過無效的 UTF-8 輸入 （CVE-2026-56852） 造成拒絕服務
    * flightctl：Go net/http：未加密的 HTTP/2 連線容易受到拒絕服務 （CVE-2026-56853）
    * flightctl：前往 html/template：透過病理輸入 （CVE-2026-56858） 進行跨網站腳本
    * flightctl： Go：透過 XML 解碼遞迴深度問題造成拒絕服務 （CVE-2026-56859）
    * flightctl：golang net/url：路徑解析中的二次複雜度導致的拒絕服務 （CVE-2026-56860）
    * flightctl：Golang crypto/tls：透過無限期 KeyUpdate 訊息 （CVE-2026-56862） 造成拒絕服務
    * flightctl： PostCSS：透過特製的 sourceMappingURL （CVE-2026-69153） 洩露資訊
    * flightctl： go-git：透過符號連結解析 （CVE-2026-71556） 的任意檔案讀取/寫入
    * flightctl：MongoDB Go 驅動程式：透過 Client.BulkWrite （CVE-2026-81521） 中未經驗證的資料庫名稱寫入重新導向

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MongoDB Go ドライバーのクライアントレベルの一括書き込み操作は、操作のターゲット名前空間を構築するために名前が使用される前、その名前をエスケープせずに、予約された区切り文字が含まれた呼び出し元指定のデータベース名を受け入れる可能性があります。信頼できない入力をデータベース名として渡すアプリケーションは、意図したものとは異なるデータベースおよびコレクションに対して書き込みを行う可能性があります。Client.BulkWrite APIのみが影響を受けます。(CVE-2026-81521)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4408-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-2303:go.mongodb.org/mongo-driver:mongo-go-driver の GSSAPI エラー処理にヒープ領域外読み取りがあります(bsc#1269861)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277996)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276742)。
    - CVE-2026-45679:go.opentelemetry.io/obi:Redisエラーテキストがスパンステータスメッセージでエクスポートされ、秘密データの漏えいにつながる可能性があります(bsc#1267482)。
    - CVE-2026-45680:go.opentelemetry.io/obi:際限のないBPF内部メトリクスリプレイはCPUを使い果たし、DoSを引き起こす可能性があります(bsc#1267483)。
    - CVE-2026-45681:go.opentelemetry.io/obi:CPU 不一致のフォールバックは、8KB サイズの 256 バイトバッファを使用します。これにより、OBI 領域外読み取りによってメモリがテレメトリに漏洩する可能性があります(bsc#1267484)。
    - CVE-2026-45683:go.opentelemetry.io/obi:ioctl kprobe TLS Java、ユーザーが OBI をカーネルメモリに向け、そのメモリをテレメトリにコピーさせる可能性があります(bsc#1267486)。
    - CVE-2026-45684:go.opentelemetry.io/obi:ログエンリッチャーが「writev」バッファを不適切に処理し、マルチセグメント呼び出しによって最初のセグメントを超えてメモリの読み込みと上書きが行われる可能性があります(bsc#1267487)。
    - CVE-2026-46600:golang.org/x/net/dns/dnsmessage:無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、パニックが発生する可能性があります(bsc#1272418)。
    - CVE-2026-48496:opentelemetry-ebpf-profiler:権限のないプロセスにより、ebpf-profiler エージェントでサービス拒否が引き起こされる可能性があります(bsc#1268982)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272028)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278671)。
    - CVE-2026-71556:github.com/go-git/go-git/v5:シンボリックリンク解決による任意のファイルの読み取り/書き込み(bsc#1276982)。
    - CVE-2026-71557:github.com/go-git/go-git/v5:悪意のある参照名により、参照ストレージ(bsc#1276992)外部のファイルが変更される可能性があります。
    - CVE-2026-75889:「prometheus.operator.ServiceMonitors」コンポーネントによる任意のファイル読み取り。これにより、監視された名前空間の「ServiceMonitor」リソースを変更できるユーザーが、「bearerTokenFile」を通じて任意のローカルファイルを指定することが可能です(bsc#1277429)。
    - CVE-2026-81521:go.mongodb.org/mongo-driver:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(bsc#1278693)。
    - CVE-2026-89090:github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream:有効な範囲外の細工されたヘッダー値タイプバイトを含む無効な形式の EventStream 応答フレームにより、ホストプロセスが終了する可能性があります(bsc#1280671)。

    合金の変更:

    - バージョン 1.19.2 に更新してください。
    - バージョン 1.19.1 に更新してください。
    - バージョン 1.19.0 への更新:
     * 互換性に影響する変更:prometheus.operator.servicemonitorsは、ローカルファイルを参照するエンドポイントをデフォルトで拒否するようになりました。allow_arbitrary_file_access = true を設定して以前の動作を維持します。
     * prometheus.enrich:マルチラベルマッチングをサポートします
     * prometheus.relabel:オプトイン TTL キャッシュモードを追加します
     * テレメトリ:グラフ接続とパイロスコープが転送したエントリの新しいメトリクスを追加します
     * database_observability:MySQL ヘルスチェックからシステムスキーマを除外し、explain_plans のクエリテキストを修正します
    - バージョン 1.18.1 への更新:
     * nop レシーバーを OTel Engine に追加

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 10 / 9 ホストに、RHSA-2026:68334 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Edge Manager(RHEM)は、エッジデバイスとアプリケーションのシンプルでスケーラブルな、セキュリティ重視の管理を可能にします。Podman/DockerまたはKubernetes上で実行されるイメージモードのRHELとコンテナワークロードをサポートします。

    RHEM はスタンドアロン機能として利用可能になり、エッジ展開の柔軟性が向上しています。スタンドアロンバージョンに加えて、REHEMは以下のプラットフォーム用のプラグインとして引き続き提供されます:

    Red Hat Advanced Cluster Management (RHACM): フリート管理をエッジデバイスに拡張します。
    Red Hat Ansible Automation Platform (AAP): エッジ管理と Ansible 自動化を統合します。

    この統合により、組織はエッジデバイスのフリートの管理とオーケストレーションを最適化できます。何千もの分散した小売POSシステムや、遠隔地の工場フロアの産業機械など。

    顧客とパートナーにとっての価値:

    * このソリューションは、お客様が何千台ものデバイスを管理できるだけでなく、運用の拡張にも役立ちます。
    * 大規模なデプロイメントを管理するには、既存の管理システムと統合し、リモート設定と無線アップデートをサポートし、高度な分析のためにテレメトリデータを収集できる必要があります。
    * Red Hat Edge Manager は、エッジデバイスのオンボーディングから廃止まで、シンプルでセキュリティ重視のライフサイクル管理を実現します。

    この完全なエンドツーエンドのソリューションにより、組織は、データを生成するデバイスのフリートから、すべて一元化された場所から最大限の価値を得ることができます。

    セキュリティ修正:

    * flightctl:golang.org/x/net/html:クロスサイトスクリプティングによる任意のコードの実行(CVE-2026-25681)
    * flightctl:golang.org/x/net/html:HTML 解析バイパスによるクロスサイトスクリプティング(CVE-2026-27136)
    * flightctl:golang crypto/x509:DNS SAN エントリの過剰な処理によるサービス拒否(CVE-2026-27145)
    * flightctl:Go crypto/x509:不適切なDNS制約の適用による証明書検証のバイパス(CVE-2026-33810)
    * flightctl:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * flightctl:Go net/mail:細工されたメール入力によるサービス拒否(CVE-2026-39820)
    * flightctl:golang.org/x/crypto/ssh:ユーザープレゼンスチェック欠落によるセキュリティキーバイパス(CVE-2026-39831)
    * flightctl:OpenTelemetry-Go:特大の手荷物ヘッダーによるサービス拒否(CVE-2026-41178)
    * flightctl:Moby コンテナフレームワーク:docker cp マウントセットアップの競合状態を通じたホストファイルの上書き(CVE-2026-42306)
    * flightctl:net/mail:異常なメールアドレス解析によるサービス拒否(CVE-2026-42499)
    * flightctl:Golang MIME:悪意を持って細工されたMIMEヘッダーによるサービス拒否(CVE-2026-42504)
    * flightctl:Billy:不十分な検証による細工された入力によるサービス拒否(CVE-2026-44740)
    * flightctl:golang.org/x/crypto/ssh:細工された AES-GCM パケットデコーダー入力によるサービス拒否(CVE-2026-46597)
    * flightctl:Arc:認証されていないデバッグエンドポイントによる情報漏洩とサービス拒否(CVE-2026-48050)
    * flightctl:golang.org/x/text:無効な UTF-8 入力によるサービス拒否(CVE-2026-56852)
    * flightctl:Go net/http:暗号化されていない HTTP/2 接続にサービス拒否の脆弱性(CVE-2026-56853)
    * flightctl:go html/template:異常な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * flightctl:Go:XML デコーディング再帰深度問題によるサービス拒否(CVE-2026-56859)
    * flightctl:golang net/url:パス解決の二次複雑度によるサービス拒否(CVE-2026-56860)
    * flightctl:Golang crypto/tls:無限の KeyUpdate メッセージによるサービス拒否(CVE-2026-56862)
    * flightctl:PostCSS:細工された sourceMappingURL による情報漏洩(CVE-2026-69153)
    * flightctl:go-git:シンボリックリンク解決による任意のファイルの読み取り/書き込み(CVE-2026-71556)
    * flightctl:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(CVE-2026-81521)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22032-1 アドバイザリで言及されています。

    - CVE-2026-2303:go.mongodb.org/mongo-driver:mongo-go-driver の GSSAPI エラー処理にヒープ領域外読み取りがあります(bsc#1269861)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1277996)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage:バゲージ解析で raw-length ヘッダーを拒否しないため、オーバーサイズの入力を介した DoS が可能になります(bsc#1276742)。
    - CVE-2026-45679:go.opentelemetry.io/obi:Redisエラーテキストがスパンステータスメッセージでエクスポートされ、秘密データの漏えいにつながる可能性があります(bsc#1267482)。
    - CVE-2026-45680:go.opentelemetry.io/obi:際限のないBPF内部メトリクスリプレイはCPUを使い果たし、DoSを引き起こす可能性があります(bsc#1267483)。
    - CVE-2026-45681:go.opentelemetry.io/obi:CPU 不一致のフォールバックは、8KB サイズの 256 バイトバッファを使用します。これにより、OBI 領域外読み取りによってメモリがテレメトリに漏洩する可能性があります(bsc#1267484)。
    - CVE-2026-45683:go.opentelemetry.io/obi:ioctl kprobe TLS Java、ユーザーが OBI をカーネルメモリに向け、そのメモリをテレメトリにコピーさせる可能性があります(bsc#1267486)。
    - CVE-2026-45684:go.opentelemetry.io/obi:ログエンリッチャーが「writev」バッファを不適切に処理し、マルチセグメント呼び出しによって最初のセグメントを超えてメモリの読み込みと上書きが行われる可能性があります(bsc#1267487)。
    - CVE-2026-46600:golang.org/x/net/dns/dnsmessage:無効な SVCB または HTTPS RR を解析すると、パラメーター値のサイズがメッセージバッファをオーバーフローしたとき、パニックが発生する可能性があります(bsc#1272418)。
    - CVE-2026-48496:opentelemetry-ebpf-profiler:権限のないプロセスにより、ebpf-profiler エージェントでサービス拒否が引き起こされる可能性があります(bsc#1268982)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272028)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278671)。
    - CVE-2026-71556:github.com/go-git/go-git/v5:シンボリックリンク解決による任意のファイルの読み取り/書き込み(bsc#1276982)。
    - CVE-2026-71557:github.com/go-git/go-git/v5:悪意のある参照名により、参照ストレージ(bsc#1276992)外部のファイルが変更される可能性があります。
    - CVE-2026-75889:「prometheus.operator.ServiceMonitors」コンポーネントによる任意のファイル読み取り。これにより、監視された名前空間の「ServiceMonitor」リソースを変更できるユーザーが、「bearerTokenFile」を通じて任意のローカルファイルを指定することが可能です(bsc#1277429)。
    - CVE-2026-81521:go.mongodb.org/mongo-driver:MongoDB Go ドライバー:Client.BulkWrite の検証されていないデータベース名を介した書き込みリダイレクト(bsc#1278693)。
    - CVE-2026-89090:github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream:有効な範囲外の細工されたヘッダー値タイプバイトを含む無効な形式の EventStream 応答フレームにより、ホストプロセスが終了する可能性があります(bsc#1280671)。

    合金の変更:

    バージョン 1.19.2 への更新:

     * 撤回した lib/pq CVE を govulncheck から削除します
     * 生成された doc 出力のコンポーネント名にバッククォートを追加します
     * 互換性に影響する変更:prometheus.operator.servicemonitorsは、ローカルファイルを参照するエンドポイントをデフォルトで拒否するようになりました。allow_arbitrary_file_access = true を設定して以前の動作を維持します。
     * prometheus.enrich:マルチラベルマッチングをサポートします
     * prometheus.relabel:オプトイン TTL キャッシュモードを追加します
     * テレメトリ:グラフ接続とパイロスコープが転送したエントリの新しいメトリクスを追加します
     * database_observability:MySQL ヘルスチェックからシステムスキーマを除外し、explain_plans のクエリテキストを修正します
     * nop レシーバーを OTel Engine に追加
     * に依存関係のアップグレードを解決するためにバックポートします GO-2026-6061

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 10 / 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2026:68334 advisory.

    Red Hat Edge Manager (RHEM) provides simple, scalable, and security-focused     management of edge devices and applications. It supports image-mode RHEL and     container workloads that run on Podman/Docker or Kubernetes.

    RHEM is now available as a standalone feature, providing greater flexibility for     edge deployments. In addition to the standalone version, RHEM continues to be     offered as a plugin for the following platforms:

    Red Hat Advanced Cluster Management (RHACM): Extends fleet management to edge     devices.
    Red Hat Ansible Automation Platform (AAP): Integrates edge management with     Ansible automation.

    This integration enables organizations to optimize the management and     orchestration of their fleets of edge devices; whether its thousands of     dispersed retail point-of-sale systems or industrial machinery on remote factory     floors.

    Value for customers and partners:

    * This solution not only helps customers manage thousands of devices but helps     scale operations.
    * To manage large-scale deployments, customers need to be able to integrate with     their existing management systems, support remote configuration and over-the-air     updates, and collect telemetry data for advanced analytics.
    * Red Hat Edge Manager offers a simple and security-focused lifecycle     management, from onboarding to decommissioning of edge devices.

    This complete end-to-end solution empowers organizations to gain the most value     from the fleets of devices that generate data, all from a centralized location.

    Security Fixes:

    * flightctl: golang.org/x/net/html: Arbitrary code execution via Cross-Site Scripting (CVE-2026-25681)
    * flightctl: golang.org/x/net/html: Cross-Site Scripting via HTML parsing bypass (CVE-2026-27136)
    * flightctl: golang crypto/x509: Denial of Service via excessive processing of DNS SAN entries     (CVE-2026-27145)
    * flightctl: Go crypto/x509: Certificate validation bypass due to incorrect DNS constraint application     (CVE-2026-33810)
    * flightctl: Go encoding/asn1: Denial of Service via excessive recursion in Unmarshal (CVE-2026-33818)
    * flightctl: Go net/mail: Denial of Service via crafted email inputs (CVE-2026-39820)
    * flightctl: golang.org/x/crypto/ssh: Security key bypass due to missing user presence check     (CVE-2026-39831)
    * flightctl: OpenTelemetry-Go: Denial of Service via oversized baggage headers (CVE-2026-41178)
    * flightctl: Moby container framework: Host file overwrite via race condition in docker cp mount setup     (CVE-2026-42306)
    * flightctl: net/mail: Denial of Service via pathological email address parsing (CVE-2026-42499)
    * flightctl: Golang MIME: Denial of Service via maliciously-crafted MIME header (CVE-2026-42504)
    * flightctl: Billy: Denial of Service via crafted input due to insufficient validation (CVE-2026-44740)
    * flightctl: golang.org/x/crypto/ssh: Denial of Service via crafted AES-GCM packet decoder inputs     (CVE-2026-46597)
    * flightctl: Arc: Information disclosure and Denial of Service via unauthenticated debug endpoints     (CVE-2026-48050)
    * flightctl: golang.org/x/text: Denial of Service via invalid UTF-8 input (CVE-2026-56852)
    * flightctl: Go net/http: Unencrypted HTTP/2 connections vulnerable to Denial of Service (CVE-2026-56853)
    * flightctl: Go html/template: Cross-Site Scripting via pathological input (CVE-2026-56858)
    * flightctl: Go: Denial of Service via XML decoding recursion depth issue (CVE-2026-56859)
    * flightctl: golang net/url: Denial of Service from quadratic complexity in path resolution     (CVE-2026-56860)
    * flightctl: Golang crypto/tls: Denial of Service via indefinite KeyUpdate messages (CVE-2026-56862)
    * flightctl: PostCSS: Information disclosure via crafted sourceMappingURL (CVE-2026-69153)
    * flightctl: go-git: Arbitrary file read/write via symbolic link resolution (CVE-2026-71556)
    * flightctl: MongoDB Go Driver: Write redirection via unvalidated database name in Client.BulkWrite     (CVE-2026-81521)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22032-1 advisory.

    - CVE-2026-2303: go.mongodb.org/mongo-driver: mongo-go-driver has Heap Out-of-Bounds Read in GSSAPI Error     Handling       (bsc#1269861).
    - CVE-2026-37236: github.com/grpc-ecosystem/grpc-gateway/v2/runtime: client can override the HTTP method     of a POST       request through the X-HTTP-Method-Override header and bypass established access control (bsc#1277996).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage: no rejection of raw-length headers in baggage parsing     allows for DoS       via oversized inputs (bsc#1276742).
    - CVE-2026-45679: go.opentelemetry.io/obi: Redis error text is exported in span status messages and can     lead to       exfiltration of sensitive data (bsc#1267482).
    - CVE-2026-45680: go.opentelemetry.io/obi: unbounded BPF internal metrics replay can exhaust CPU and cause     a DoS       (bsc#1267483).
    - CVE-2026-45681: go.opentelemetry.io/obi: CPU-mismatch fallback uses 256-byte buffer with 8KB size and     can cause OBI       out-of-bounds reads to leak memory into telemetry (bsc#1267484).
    - CVE-2026-45683: go.opentelemetry.io/obi: Java TLS ioctl kprobe allows a user to point OBI at kernel     memory and cause       that memory to be copied into telemetry (bsc#1267486).
    - CVE-2026-45684: go.opentelemetry.io/obi: log enricher mishandled `writev` buffers and allows multi-     segment calls to       read and overwrite memory beyond the first segment (bsc#1267487).
    - CVE-2026-46600: golang.org/x/net/dns/dnsmessage: Parsing an invalid SVCB or HTTPS RR can panic when the     size of a       parameter value overflows the message buffer (bsc#1272418).
    - CVE-2026-48496: opentelemetry-ebpf-profiler: Unprivileged process can trigger a denial of service on the     ebpf-profiler       agent (bsc#1268982).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1272028).
    - CVE-2026-56854,CVE-2026-56855,CVE-2026-78662: golang.org/x/crypto/ssh: authentication bypass and     deadlocks in the       crypto/ssh library (bsc#1278671).
    - CVE-2026-71556: github.com/go-git/go-git/v5: Arbitrary file read/write via symbolic link resolution     (bsc#1276982).
    - CVE-2026-71557: github.com/go-git/go-git/v5: Malicious reference names may modify files outside the     reference storage       (bsc#1276992).
    - CVE-2026-75889: arbitrary file reads due to the `prometheus.operator.servicemonitors` component allowing     users who can       modify `ServiceMonitor` resources in a watched namespace to specify an arbitrary local file through     `bearerTokenFile`       (bsc#1277429).
    - CVE-2026-81521: go.mongodb.org/mongo-driver: MongoDB Go Driver: Write redirection via unvalidated     database name in       Client.BulkWrite (bsc#1278693).
    - CVE-2026-89090: github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream: malformed EventStream response     frames       containing a crafted header value type byte outside the valid range can cause the host process to     terminate       (bsc#1280671).

    Changes for alloy:

    Update to version 1.19.2:

     * Remove withdrawn lib/pq CVEs from govulncheck
     * Add backticks to component name in generated doc output
     * BREAKING CHANGE: prometheus.operator.servicemonitors now      rejects endpoints that reference local files by default. Set      allow_arbitrary_file_access = true to preserve previous      behavior.
     * prometheus.enrich: Support multi-label matching
     * prometheus.relabel: Add opt-in TTL cache mode
     * telemetry: Add new metrics for graph connections and      pyroscope forwarded entries
     * database_observability: Exclude system schemas from MySQL      health checks and redact query text in explain_plans
     * Add nop receiver to OTel Engine
     * Backport dependency upgrades to address GO-2026-6061

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The MongoDB Go Driver's client-level bulk write operation may accept a caller-supplied database name     containing a reserved separator character without escaping it before the name is used to build the target     namespace for the operation. An application that passes untrusted input as a database name could therefore     have the write directed at a database and collection other than the ones it intended. Only the     Client.BulkWrite API is affected. (CVE-2026-81521)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4408-1 advisory.

    - CVE-2026-2303: go.mongodb.org/mongo-driver: mongo-go-driver has Heap Out-of-Bounds Read in GSSAPI Error     Handling       (bsc#1269861).
    - CVE-2026-37236: github.com/grpc-ecosystem/grpc-gateway/v2/runtime: client can override the HTTP method     of a POST       request through the X-HTTP-Method-Override header and bypass established access control (bsc#1277996).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage: no rejection of raw-length headers in baggage parsing     allows for DoS       via oversized inputs (bsc#1276742).
    - CVE-2026-45679: go.opentelemetry.io/obi: Redis error text is exported in span status messages and can     lead to       exfiltration of sensitive data (bsc#1267482).
    - CVE-2026-45680: go.opentelemetry.io/obi: unbounded BPF internal metrics replay can exhaust CPU and cause     a DoS       (bsc#1267483).
    - CVE-2026-45681: go.opentelemetry.io/obi: CPU-mismatch fallback uses 256-byte buffer with 8KB size and     can cause OBI       out-of-bounds reads to leak memory into telemetry (bsc#1267484).
    - CVE-2026-45683: go.opentelemetry.io/obi: Java TLS ioctl kprobe allows a user to point OBI at kernel     memory and cause       that memory to be copied into telemetry (bsc#1267486).
    - CVE-2026-45684: go.opentelemetry.io/obi: log enricher mishandled `writev` buffers and allows multi-     segment calls to       read and overwrite memory beyond the first segment (bsc#1267487).
    - CVE-2026-46600: golang.org/x/net/dns/dnsmessage: Parsing an invalid SVCB or HTTPS RR can panic when the     size of a       parameter value overflows the message buffer (bsc#1272418).
    - CVE-2026-48496: opentelemetry-ebpf-profiler: Unprivileged process can trigger a denial of service on the     ebpf-profiler       agent (bsc#1268982).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1272028).
    - CVE-2026-56854,CVE-2026-56855,CVE-2026-78662: golang.org/x/crypto/ssh: authentication bypass and     deadlocks in the       crypto/ssh library (bsc#1278671).
    - CVE-2026-71556: github.com/go-git/go-git/v5: Arbitrary file read/write via symbolic link resolution     (bsc#1276982).
    - CVE-2026-71557: github.com/go-git/go-git/v5: Malicious reference names may modify files outside the     reference storage       (bsc#1276992).
    - CVE-2026-75889: arbitrary file reads due to the `prometheus.operator.servicemonitors` component allowing     users who can       modify `ServiceMonitor` resources in a watched namespace to specify an arbitrary local file through     `bearerTokenFile`       (bsc#1277429).
    - CVE-2026-81521: go.mongodb.org/mongo-driver: MongoDB Go Driver: Write redirection via unvalidated     database name in       Client.BulkWrite (bsc#1278693).
    - CVE-2026-89090: github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream: malformed EventStream response     frames       containing a crafted header value type byte outside the valid range can cause the host process to     terminate       (bsc#1280671).

    Changes for alloy:

    - Update to version 1.19.2.
    - Update to version 1.19.1.
    - Update to version 1.19.0:
     * BREAKING CHANGE: prometheus.operator.servicemonitors now      rejects endpoints that reference local files by default. Set      allow_arbitrary_file_access = true to preserve previous      behavior.
     * prometheus.enrich: Support multi-label matching
     * prometheus.relabel: Add opt-in TTL cache mode
     * telemetry: Add new metrics for graph connections and      pyroscope forwarded entries
     * database_observability: Exclude system schemas from MySQL      health checks and redact query text in explain_plans
    - Update to version 1.18.1:
     * Add nop receiver to OTel Engine

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
346432	RHEL 10 / 9：Red Hat Edge Manager 版本 1.1.4 安全更新（重要）（RHSA-2026:68334）	Nessus	Red Hat Local Security Checks	2026/9/16	2026/9/16	high
341273	Linux Distros 未修補弱點：CVE-2026-81521	Nessus	Misc.	2026/8/28	2026/11/3	high
341273	Linux Distros 未修补的漏洞：CVE-2026-81521	Nessus	Misc.	2026/8/28	2026/11/3	high
346432	RHEL 10 / 9：Red Hat Edge Manager 版本 1.1.4 安全性更新（重要）（RHSA-2026:68334）	Nessus	Red Hat Local Security Checks	2026/9/16	2026/9/16	high
341273	Linux Distros のパッチ未適用の脆弱性: CVE-2026-81521	Nessus	Misc.	2026/8/28	2026/11/3	high
362571	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:4408-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
346432	RHEL 10/9:Red Hat Edge Managerバージョン 1.1.4 セキュリティ更新プログラム(重要度高)(RHSA-2026:68334)	Nessus	Red Hat Local Security Checks	2026/9/16	2026/9/16	high
364343	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:22032-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
346432	RHEL 10 / 9 : Red Hat Edge Manager Version 1.1.4 Security Update (Important) (RHSA-2026:68334)	Nessus	Red Hat Local Security Checks	2026/9/16	2026/9/16	high
364343	openSUSE 16 Security Update : alloy (openSUSE-SU-2026:22032-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
341273	Linux Distros Unpatched Vulnerability : CVE-2026-81521	Nessus	Misc.	2026/8/28	2026/11/3	high
362571	SUSE SLED15 / SLES15 Security Update : alloy (SUSE-SU-2026:4408-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high