远程 Azure Linux 3.0 主机上安装的 opa 版本低于 测试的版本。因此，它受到 CVE-2025-46569 公告中提及的一个漏洞影响。

  - 开放策略代理 (OPA) 是一个开源通用策略引擎。在低于版本 1.4.0的版本中作为服务器运行时OPA 会暴露用于读取和写入文档的 HTTP 数据 API。通过数据 API 请求虚拟文档需要进行策略评估，其中包含从所请求的路径构建的包含单个数据文档引用的 Rego 查询。此查询随后将用于策略评估。可以通过将 Rego 代码注入构建的查询的方式构建 HTTP 请求路径。无法使评估结果返回除所请求的路径生成的数据以外的任何其他数据但可错误导向此路径且可构建注入的 Rego 代码以使查询成功或失败容易遭受 oracle 攻击或在适当的情况下导致错误的策略决策结果。此外注入的代码可被构建为计算资源密集型代码从而导致拒绝服务 (DoS) 攻击。已在版本 1.4.0 中修补此问题。变通方案涉及将 OPA 的 RESTful API 的网络访问限制为“localhost”和/或受信任的网络除非生产原因有必要。 (CVE-2025-46569)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Azure Linux 3.0 主機上安裝的 opa 版本比測試版本舊。因此，它會受到 CVE-2025-46569 公告中提及的一個弱點影響。

  - Open Policy Agent (OPA) 是一種開放原始碼的一般用途原則引擎。在 1.4.0版之前OPA 在做為伺服器執行時會洩漏用於讀取和寫入文件的 HTTP 資料 API。透過資料 API 要求虛擬文件需要原則評估其中含有單一資料文件參照的 Rego 查詢是從要求的路徑建構。然後使用此查詢進行原則評估。攻擊者可利用將 Rego 程式碼插入建構查詢的方式特製 HTTP 要求路徑。無法使評估結果傳回除所要求路徑所產生之資料以外的任何其他資料但此路徑可被錯誤導向且可特製插入的 Rego 程式碼以使查詢成功或失敗針對 oracle 攻擊開放或在適當情況下針對錯誤的原則決策結果開放。此外插入的程式碼可能會特製為耗用大量運算資源進而導致拒絕服務 (DoS) 攻擊。此問題已在 1.4.0 版中修正。因應措施為將 OPA RESTful API 的網路存取限制為「localhost」和/或受信任的網路除非因生產原因需要此因應措施。 (CVE-2025-46569)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:02592-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    バージョン への更新 2.5.3 jsc#SLE-23879

    - CVE-2025-46569Rego の OPA サーバーデータ API HTTP パスインジェクションを修正しましたbsc#1246725

    変更ログ:

    2.5.3 に更新:

    - signing-config create コマンドを追加します#4280
    - trusted-root create に対して複数のサービスを指定できるようにします#4285
    - 最新のイメージを上書きするためにコピーする際に強制#4298
    - trusted-root/SCT の証明書検証ロジックを修正します#4294
    - タイプパッケージの lint エラーを修正します#4295
    -ftOCI 1.1+ ツリーへの実験的サポートを追加#4205
    - trusted-root create の有効期間終了を追加#4271
    - ファイルからの trustedroot の二重ロードを回避します#4264

    2.5.2 に更新:

    - CT env キーが設定されている場合、信頼できるルートをロードしません
    - docs --no-upload オプションに対して doc を改善します#4206

    2.5.1 に更新:

    - trusted-root create に対する Rekor v2 サポートを追加#4242
    - trusted-root create コマンドに baseUrl と Uri を追加します
    - 信頼できる root を持つ TUF v2 クライアントへアップグレードしてください
    - プライベート PKI 証明書の SCT を検証しません#4225
    - TSA ライブラリを更新し、EKU チェーン検証ルールを緩和します#4219
    - sigstore-go を更新し、ログ index=0 を選択#4162
    - attest コマンドの未使用の再帰フラグを削除します#4187

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE-SU-2025:20160-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 1.3.1 に更新してくださいbsc#1251516、 CVE-2025-47911、 bsc#1251891]、 CVE-2025-11579、 bsc#1251651、 CVE-2025-58190、 bsc#1248937、 CVE-2025-58058
      * github.com/containerd/containerd を更新#474
      * 新しいテストのためのテストに対する別の修正#472
      * testdata の誤字を修正しました#471
      * 新たなテストを修正/クリーンアップ#470
      * haler テスト用の新しい方法を試行#467
      * cosign v3 検証の更新#469
      * ダイジェストビューを info に追加#465
      * 1 つのディレクトリ全体の go_modules グループで、github.com/nwaples/rardecode/v2 を 2.1.1 から 2.2.0 へ更新します#457
      * セキュリティパッチのために oras-go を v1.2.7 へ更新#464
      * cosign を v3.0.2+haler.1 に更新#463
      * homebrew ディレクトリの廃止を修正しました#462
      * レジストリのログアウトコマンドを追加します#460

    - バージョン 1.3.0 への更新:
      * 2 つの更新で 1 つのディレクトリ全体で go_modules グループを更新します#455
      * アップグレードされたバージョン/依存関係/廃止#454
      * docker tarball のロードを許可します#452
      * 2 つの更新で 1 つのディレクトリ全体で go_modules グループを更新します#449

    - への更新 1.2.5bsc#1246722、 CVE-2025-46569]
      * 1 つのディレクトリ全体の go_modules グループで、github.com/open-policy-agent/opa を 1.1.0 から 1.4.0 へ更新しますCVE-2025-46569
      * haler の保存コピーからの認証を廃止します
      * 1 つのディレクトリ全体の go_modules グループで、github.com/cloudflare/circl を 1.3.7 から 1.6.1 へ更新します
      * 1 つのディレクトリ全体の go_modules グループで、github.com/go-viper/mapstructure/v2 を 2.2.1 から 2.3.0 へ更新
      * go と依存関係のバージョンをアップグレードしました

    - バージョン 1.2.5 への更新:
      * go との依存関係のバージョンをアップグレード#444
      * github.com/go-viper/mapstructure/v2 を更新#442
      * github.com/cloudflare/circl を更新します#441
      * haler ストアコピーからの認証を廃止します#440
      * github.com/open-policy-agent/opa を更新します#438

    - への更新 1.2.4CVE-2025-22872、 bsc#1241804]
      * 1 つのディレクトリ全体の go_modules グループで golang.org/x/net を 0.37.0 から 0.38.0 へ更新します
      * マイナーなテスト更新

    - バージョン 1.2.3 への更新:
      * フォーマットおよびフラグテキストの更新
      * キーレス署名認証を追加#434
      * 1 つのディレクトリにわたって go_modules グループの helm.sh/helm/v3 を更新します#430
      * --only フラグを haler ストアコピーに追加します画像用#429
      * tlog 検証エラー/警告出力を修正#428

    - バージョン 1.2.2 (bsc#1241184、CVE-2024-0406) に更新してください:
      * 新しい tlog フラグの誤字をクリーンアップし、shorthand を追加します#426
      * デフォルト公開の不適切なログ検証は、エアギャップに対応するために false に設定されますが、オーバーライドが許可されます#425]
      * github.com/golang-jwt/jwt/v4 を更新#423
      * 2 つの更新で 1 つのディレクトリ全体で go_modules グループを更新します#422
      * github.com/go-jose/go-jose/v3 を更新#417
      * github.com/go-jose/go-jose/v4 を更新#415
      * 製品フラグが同期と共に使用される場合はデフォルトのマニフェスト名をクリア#412
      * v1.2.0 用の更新#408
      * リモートコードを修正しました#407
      * リモートファイルフェッチをロードに追加しました#406
      * リモートと複数のファイルのフェッチを同期に追加しました#405
      * 保存フラグと関連ログを更新しました#404
      * ロードフラグと関連するログを更新しました [重大な変更]#403]
      * 同期フラグと関連するログを更新しました [重大な変更]#402]
      * api の更新を v1 にアップグレードしました/更新済みの依存関係#400
      * oci 宣言の const を修正#398
      * プラットフォームのポストcosignを適切にグラブするための修正 2.4 更新#393]
      * cosign v2.4.1+carbide.2 を使用して、index.json の containerd 注釈に対処します#390]
      * 2 つの更新で 1 つのディレクトリ全体で go_modules グループを更新します#385
      * mholt/archiver を mholt/archives で置換します#384
      * フォークされた符号の更新を 2.4.1 行い、ライブラリ 対 組み込みバイナリとして使用します#383
      * レジストリをクリーンアップし、ロギングを改善しました#378
      * 1 つのディレクトリ全体の go_modules グループの golang.org/x/crypto を更新します#377
    - net/html の依存関係を更新bsc#1235332、 CVE-2024-45338]

    - バージョン 1.1.1 への更新:
      * ストア env var 用の cli desc を修正しました#374
      * go/k8s/helm のバージョンを更新#373
      * バージョンフラグを internal/flags に更新しました#369
      * 不適切に名前が付けられていた const の名前を変更#371
      * ストア環境変数を追加#370
      * エラーの継続/エラーの失敗のためのエラーと再試行の無視を追加#368
      * haler ディレクトリを更新/修正しました#354
      * consts の標準化#353
      * cachedir コードを削除しました#355
      * k3s コードを削除しました#352
      * go、helm、および k8s の依存関係を更新#351
      * [機能] 利用可能な場合は単発暗号での構築#344
      * ワークフローを goreleaser ビルドに更新#341
      * goreleaser ワークフローにタイムアウトを追加しました#340
      * 新たなワークフロービルドプロセスの試行#337
      * ワークフローパフォーマンスを改善しました#336
      * 抽出に適切な ref を使用させます#335
      * さらに別のワークフロー goreleaser の修正#334
      * さらにワークフローの修正#333
      * github ワークフローにさらに修正を追加#332
      * haler ストア保存の誤字を修正しました#331
      * ビルドプロセスを修正する更新#330
      * 非 haler tarball 用の統合テストを追加しました#325
      * buglang >= 1.23.1#328]
      * プラットフォームフラグを保存するために追加します#329
      * feature_request.md を更新
      * コマンド説明を更新/標準化#313
      * 「store save」manifest.json に対して新しい注釈を使用#324
      * ホールラー tarball に対して docker ロードを有効にします#320
      * 新しい注釈用の cosign v2.2.3-carbide.3 へ更新します#322
      * 保存するイメージを追加する際のエラーで続けます#317
      * README.md を更新します#318
      * 完了コマンドを修正しました#312
      * github.com/rancherfeederal/haler => haler.dev/go/haler#311]
      * pagego インストール haler.dev/go/haler を有効にします#310
      * CNAME の作成
      * pages初期ワークフロー#309
      * テストおよび lint の更新#305
      *ft-273TLS フラグ#303
      * list-repos フラグを追加しました#298
      * haler ログインの誤字を修正しました#299
      * シェル完了用の cobra 関数を更新#304
      * install.sh を更新し、github api を削除しています#293]
      * sigs/atts を含む際に squash される画像参照キーを修正します#291
      * リリースビルドで欠落しているバージョン情報を修正します#283
      * 1 つのディレクトリ全体の go_modules グループで github.com/docker/docker を更新します#281
      * インストールスクリプトを更新しました「install.sh」#280
      * ホールのロード時にダイジェストイメージが失われる問題を修正署名済み。#259
      * feature読み取り専用フラグを追加します#277
      * goreleaser v2 の変更に対して makefile を修正#278
      * goreleaser バージョンのデフォルトを更新#279
      * feature_request.md を更新#274
      * 古い参照を更新
      * アクションワークフローユーザーを更新しました
      * dockerhub を github アクションワークフローに追加しました
      * helm チャートを削除しました
      * デバッグコンテナとワークフローを追加しました
      * 製品フラグの説明を更新しました
      * リリースのチャートを更新しました
      * ワークフローのエラー/警告を修正
      * testdata のパーミッションを修正しました
      * チャートバージョンを更新しました再度更新する必要があります
      * ワークフローに対する修正の最終版
      * ユニットテストワークフローを更新しました
      * goreleaser の廃止を更新しました
      * helm チャートリリースジョブを追加しました
      * github テンプレート名を更新しました
      * インポートを更新しましたおよび go fmt
      * dockerignore に一致するように gitignore をフォーマットしました
      * すべてのコードをフォーマットしましたgo fmt
      * 新機能のチャートテストを更新しました
      * ファイルサーバーコマンドにタイムアウトフラグを追加
      * OCI およびプライベートレジストリサポートに helm クライアントを使用するようにチャートコマンドを構成します
      * 同期コマンドにいくつかのドキュメントテキストを追加
      * golang.org/x/net を 0.17.0 から 0.23.0へ更新します
      * cosign での dup ダイジェスト破壊の修正
      * vagrant スクリプトを削除
      * チャートの更新とフォーマットの最後の部分
      * haler testdata を更新しました
      * 機能性の追加とクリーンアップ
      * 初期 helm チャートを追加しました
      * リリースワークフローでタグを削除しました
      * リリースワークフローのイメージ参照を更新/修正
      * リリースワークフローのプラットフォームを更新/修正しました
      * github アクションを更新/クリーンアップしました#222
      * 製品レジストリを構成可能にします#194
      * ファイルサーバーディレクトリ名を更新しました#219
      * ファイルのロギングを修正します
      * tempdir オーバーライドフラグに余分の情報を追加します
      * tempdir がロード用フラグをオーバーライド
      * キャッシュフラグを削除する代わりに廃止します
      * ビルダーイメージとして bci-golang を使用するように切り替えます
      * 修正hauler ストアロードのために /tmp を確保します
      * のためのコピーを追加しました
      * cosign 更新では不要なイメージ同期のコピーを削除
      * 誤解を招くキャッシュフラグを削除しました
      * ストア追加時のロギングの改善
      * 弊社の cosign fork の v2.2.3 への更新
      * add: dockerignore
      * add: Dockerfile
      * google.golang.org/protobuf を 1.31.0 から 1.33.0へ更新
      * github.com/docker/docker を更新
      * 新しいロゴを更新および追加しました
      * github ファイルを更新しました

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Azure Linux 3.0 ホストにインストールされている opa のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2025-46569 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Open Policy Agent (OPA) は、オープンソースの汎用ポリシーエンジンです。バージョン 1.4.0より前のバージョンでは、サーバーとして実行するとき、OPA がドキュメントの読み取りおよび書き込みのために HTTP Data API を漏洩します。Data API 経由で仮想ドキュメントをリクエストすると、ポリシー評価が必要となります。このとき、単一のデータドキュメント参照を含む Rego クエリが、リクエストされたパスから構築されます。このクエリはその後、ポリシーの評価に使用されます。構築されたクエリに Rego コードを注入する方法で、HTTP リクエストパスが細工される可能性があります。評価結果は、リクエストされたパスによって生成されたもの以外のデータを返すようにすることはできませんが、このパスは間違ってダイレクトされる可能性があり、注入された Rego コードはクエリを成功または失敗させるように細工されることができます。 oracle 攻撃が発生する可能性があり、場合によっては、誤ったポリシー決定結果が発生する可能性があります。さらに、挿入されたコードは計算負荷がかかるように細工され、サービス拒否DoS攻撃を引き起こす可能性があります。この問題には、バージョン 1.4.0 でパッチが適用されています。回避策には、本番上の理由で必要でない限り、「localhost」および/または信頼できるネットワークに制限されているOPAのRESTful APIにネットワークでアクセスすることが含まれます。CVE-2025-46569

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2025:02592-1 advisory.

    Update to version 2.5.3 (jsc#SLE-23879):

    - CVE-2025-46569: Fixed OPA server Data API HTTP path injection of Rego (bsc#1246725)

    Changelog:

    Update to 2.5.3:

    - Add signing-config create command (#4280)
    - Allow multiple services to be specified for trusted-root create (#4285)
    - force when copying the latest image to overwrite (#4298)
    - Fix cert verification logic for trusted-root/SCTs (#4294)
    - Fix lint error for types package (#4295)
    - feat: Add OCI 1.1+ experimental support to tree (#4205)
    - Add validity period end for trusted-root create (#4271)
    - avoid double-loading trustedroot from file (#4264)

    Update to 2.5.2:

    - Do not load trusted root when CT env key is set
    - docs: improve doc for --no-upload option (#4206)

    Update to 2.5.1:

    - Add Rekor v2 support for trusted-root create (#4242)
    - Add baseUrl and Uri to trusted-root create command
    - Upgrade to TUF v2 client with trusted root
    - Don't verify SCT for a private PKI cert (#4225)
    - Bump TSA library to relax EKU chain validation rules (#4219)
    - Bump sigstore-go to pick up log index=0 fix (#4162)
    - remove unused recursive flag on attest command (#4187)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2025:20160-1 advisory.

    - Update to version 1.3.1 (bsc#1251516, CVE-2025-47911,       bsc#1251891, CVE-2025-11579, bsc#1251651, CVE-2025-58190,       bsc#1248937, CVE-2025-58058):
      * bump github.com/containerd/containerd (#474)
      * another fix to tests for new tests (#472)
      * fixed typo in testdata (#471)
      * fixed/cleaned new tests (#470)
      * trying a new way for hauler testing (#467)
      * update for cosign v3 verify (#469)
      * added digests view to info (#465)
      * bump github.com/nwaples/rardecode/v2 from 2.1.1 to 2.2.0 in the go_modules group across 1 directory     (#457)
      * update oras-go to v1.2.7 for security patches (#464)
      * update cosign to v3.0.2+hauler.1 (#463)
      * fixed homebrew directory deprecation (#462)
      * add registry logout command (#460)

    - Update to version 1.3.0:
      * bump the go_modules group across 1 directory with 2 updates (#455)
      * upgraded versions/dependencies/deprecations (#454)
      * allow loading of docker tarballs (#452)
      * bump the go_modules group across 1 directory with 2 updates (#449)

    - update to 1.2.5 (bsc#1246722, CVE-2025-46569):
      * Bump github.com/open-policy-agent/opa from 1.1.0 to 1.4.0 in         the go_modules group across 1 directory (CVE-2025-46569)
      * deprecate auth from hauler store copy
      * Bump github.com/cloudflare/circl from 1.3.7 to 1.6.1 in the         go_modules group across 1 directory
      * Bump github.com/go-viper/mapstructure/v2 from 2.2.1 to 2.3.0         in the go_modules group across 1 directory
      * upgraded go and dependencies versions

    - Update to version 1.2.5:
      * upgraded go and dependencies versions (#444)
      * Bump github.com/go-viper/mapstructure/v2 (#442)
      * bump github.com/cloudflare/circl (#441)
      * deprecate auth from hauler store copy (#440)
      * Bump github.com/open-policy-agent/opa (#438)

    - update to 1.2.4 (CVE-2025-22872, bsc#1241804):
      * Bump golang.org/x/net from 0.37.0 to 0.38.0 in the go_modules         group across 1 directory
      * minor tests updates

    - Update to version 1.2.3:
      * formatting and flag text updates
      * add keyless signature verification (#434)
      * bump helm.sh/helm/v3 in the go_modules group across 1 directory (#430)
      * add --only flag to hauler store copy (for images) (#429)
      * fix tlog verification error/warning output (#428)

    - Update to version 1.2.2 (bsc#1241184, CVE-2024-0406):
      * cleanup new tlog flag typos and add shorthand (#426)
      * default public transparency log verification to false to be airgap friendly but allow override (#425)
      * bump github.com/golang-jwt/jwt/v4 (#423)
      * bump the go_modules group across 1 directory with 2 updates (#422)
      * bump github.com/go-jose/go-jose/v3 (#417)
      * bump github.com/go-jose/go-jose/v4 (#415)
      * clear default manifest name if product flag used with sync (#412)
      * updates for v1.2.0 (#408)
      * fixed remote code (#407)
      * added remote file fetch to load (#406)
      * added remote and multiple file fetch to sync (#405)
      * updated save flag and related logs (#404)
      * updated load flag and related logs [breaking change] (#403)
      * updated sync flag and related logs [breaking change] (#402)
      * upgraded api update to v1/updated dependencies (#400)
      * fixed consts for oci declarations (#398)
      * fix for correctly grabbing platform post cosign 2.4 updates (#393)
      * use cosign v2.4.1+carbide.2 to address containerd annotation in index.json (#390)
      * Bump the go_modules group across 1 directory with 2 updates (#385)
      * replace mholt/archiver with mholt/archives (#384)
      * forked cosign bump to 2.4.1 and use as a library vs embedded binary (#383)
      * cleaned up registry and improved logging (#378)
      * Bump golang.org/x/crypto in the go_modules group across 1 directory (#377)
    - bump net/html dependencies (bsc#1235332, CVE-2024-45338)

    - Update to version 1.1.1:
      * fixed cli desc for store env var (#374)
      * updated versions for go/k8s/helm (#373)
      * updated version flag to internal/flags (#369)
      * renamed incorrectly named consts (#371)
      * added store env var (#370)
      * adding ignore errors and retries for continue on error/fail on error (#368)
      * updated/fixed hauler directory (#354)
      * standardize consts (#353)
      * removed cachedir code (#355)
      * removed k3s code (#352)
      * updated dependencies for go, helm, and k8s (#351)
      * [feature] build with boring crypto where available (#344)
      * updated workflow to goreleaser builds (#341)
      * added timeout to goreleaser workflow (#340)
      * trying new workflow build processes (#337)
      * improved workflow performance (#336)
      * have extract use proper ref (#335)
      * yet another workflow goreleaser fix (#334)
      * even more workflow fixes (#333)
      * added more fixes to github workflow (#332)
      * fixed typo in hauler store save (#331)
      * updates to fix build processes (#330)
      * added integration tests for non hauler tarballs (#325)
      * bump: golang >= 1.23.1 (#328)
      * add platform flag to store save (#329)
      * Update feature_request.md
      * updated/standardize command descriptions (#313)
      * use new annotation for 'store save' manifest.json (#324)
      * enable docker load for hauler tarballs (#320)
      * bump to cosign v2.2.3-carbide.3 for new annotation (#322)
      * continue on error when adding images to store (#317)
      * Update README.md (#318)
      * fixed completion commands (#312)
      * github.com/rancherfederal/hauler => hauler.dev/go/hauler (#311)
      * pages: enable go install hauler.dev/go/hauler (#310)
      * Create CNAME
      * pages: initial workflow (#309)
      * testing and linting updates (#305)
      * feat-273: TLS Flags (#303)
      * added list-repos flag (#298)
      * fixed hauler login typo (#299)
      * updated cobra function for shell completion (#304)
      * updated install.sh to remove github api (#293)
      * fix image ref keys getting squashed when containing sigs/atts (#291)
      * fix missing versin info in release build (#283)
      * bump github.com/docker/docker in the go_modules group across 1 directory (#281)
      * updated install script (`install.sh`) (#280)
      * fix digest images being lost on load of hauls (Signed). (#259)
      * feat: add readonly flag (#277)
      * fixed makefile for goreleaser v2 changes (#278)
      * updated goreleaser versioning defaults (#279)
      * update feature_request.md (#274)
      * updated old references
      * updated actions workflow user
      * added dockerhub to github actions workflow
      * removed helm chart
      * added debug container and workflow
      * updated products flag description
      * updated chart for release
      * fixed workflow errors/warnings
      * fixed permissions on testdata
      * updated chart versions (will need to update again)
      * last bit of fixes to workflow
      * updated unit test workflow
      * updated goreleaser deprecations
      * added helm chart release job
      * updated github template names
      * updated imports (and go fmt)
      * formatted gitignore to match dockerignore
      * formatted all code (go fmt)
      * updated chart tests for new features
      * Adding the timeout flag for fileserver command
      * Configure chart commands to use helm clients for OCI and private registry support
      * Added some documentation text to sync command
      * Bump golang.org/x/net from 0.17.0 to 0.23.0
      * fix for dup digest smashing in cosign
      * removed vagrant scripts
      * last bit of updates and formatting of chart
      * updated hauler testdata
      * adding functionality and cleaning up
      * added initial helm chart
      * removed tag in release workflow
      * updated/fixed image ref in release workflow
      * updated/fixed platforms in release workflow
      * updated/cleaned github actions (#222)
      * Make Product Registry configurable (#194)
      * updated fileserver directory name (#219)
      * fix logging for files
      * add extra info for the tempdir override flag
      * tempdir override flag for load
      * deprecate the cache flag instead of remove
      * switch to using bci-golang as builder image
      * fix: ensure /tmp for hauler store load
      * added the copy back for now
      * remove copy at the image sync not needed with cosign update
      * removed misleading cache flag
      * better logging when adding to store
      * update to v2.2.3 of our cosign fork
      * add: dockerignore
      * add: Dockerfile
      * Bump google.golang.org/protobuf from 1.31.0 to 1.33.0
      * Bump github.com/docker/docker
      * updated and added new logos
      * updated github files

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of opa installed on the remote Azure Linux 3.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2025-46569 advisory.

  - Open Policy Agent (OPA) is an open source, general-purpose policy engine. Prior to version 1.4.0, when run     as a server, OPA exposes an HTTP Data API for reading and writing documents. Requesting a virtual document     through the Data API entails policy evaluation, where a Rego query containing a single data document     reference is constructed from the requested path. This query is then used for policy evaluation. A HTTP     request path can be crafted in a way that injects Rego code into the constructed query. The evaluation     result cannot be made to return any other data than what is generated by the requested path, but this path     can be misdirected, and the injected Rego code can be crafted to make the query succeed or fail; opening     up for oracle attacks or, given the right circumstances, erroneous policy decision results. Furthermore,     the injected code can be crafted to be computationally expensive, resulting in a Denial Of Service (DoS)     attack. This issue has been patched in version 1.4.0. A workaround involves having network access to OPA's     RESTful APIs being limited to `localhost` and/or trusted networks, unless necessary for production     reasons. (CVE-2025-46569)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
295644	Azure Linux 3.0 安全更新opa (CVE-2025-46569)	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	high
295644	Azure Linux 3.0 安全性更新opa (CVE-2025-46569)	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	high
277007	openSUSE 16 セキュリティ更新trivyopenSUSE-SU-2025-20117-1]	Nessus	SuSE Local Security Checks	2025/12/2	2025/12/2	medium
243299	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新cosignSUSE-SU-2025:02592-1	Nessus	SuSE Local Security Checks	2025/8/2	2025/8/6	high
278653	openSUSE 16 セキュリティ更新haleropenSUSE-SU-2025:20160-1	Nessus	SuSE Local Security Checks	2025/12/15	2025/12/16	high
295644	Azure Linux 3.0 セキュリティ更新opaCVE-2025-46569	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	high
277007	openSUSE 16 Security Update : trivy (openSUSE-SU-2025-20117-1)	Nessus	SuSE Local Security Checks	2025/12/2	2025/12/2	medium
243299	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : cosign (SUSE-SU-2025:02592-1)	Nessus	SuSE Local Security Checks	2025/8/2	2025/8/6	high
278653	openSUSE 16 Security Update : hauler (openSUSE-SU-2025:20160-1)	Nessus	SuSE Local Security Checks	2025/12/15	2025/12/16	high
295644	Azure Linux 3.0 Security Update: opa (CVE-2025-46569)	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	high

检测

插件搜索

high

high

medium

high

high

high

medium

high

high

high