There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - `yaml` is a YAML parser and serialiser for JavaScript. Parsing a YAML document with a version of `yaml` on
    the 1.x branch prior to 1.10.3 or on the 2.x branch prior to 2.8.3 may throw a RangeError due to a stack
    overflow. The node resolution/composition phase uses recursive function calls without a depth bound. An
    attacker who can supply YAML for parsing can trigger a `RangeError: Maximum call stack size exceeded` with
    a small payload (~2–10 KB). The `RangeError` is not a `YAMLParseError`, so applications that only catch
    YAML-specific errors will encounter an unexpected exception type. Depending on the host application's
    exception handling, this can fail requests or terminate the Node.js process. Flow sequences allow deep
    nesting with minimal bytes (2 bytes per level: one `[` and one `]`). On the default Node.js stack,
    approximately 1,000–5,000 levels of nesting (2–10 KB input) exhaust the call stack. The exact threshold is
    environment-dependent (Node.js version, stack size, call stack depth at invocation). Note: the library's
    `Parser` (CST phase) uses a stack-based iterative approach and is not affected. Only the compose/resolve
    phase uses actual call-stack recursion. All three public parsing APIs are affected: `YAML.parse()`,
    `YAML.parseDocument()`, and `YAML.parseAllDocuments()`. Versions 1.10.3 and 2.8.3 contain a patch.
    (CVE-2026-33532)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - `yaml` 是適用於 JavaScript 的 YAML 剖析器和序列化程式。在比 1.10.3 之前的 [ 1.x 分支上或在 2.8.3 之前的 2.x 分支上剖析含有 `yaml` 版本的 YAML 文件時可能會因為堆疊溢位而擲回 RangeError。節點解析/組成階段使用沒有深度界限的遞回函式呼叫。可提供 YAML 進行剖析的攻擊者可藉由小型承載 (~210 KB) 觸發「RangeError:超出最大呼叫堆疊大小」。`RangeError` 不是 `YAMLParseError`因此僅擷取 YAML 特定錯誤的應用程式會遇到未預期的例外類型。根據主機應用程式的例外狀況處理而定這可能會使要求失敗或終止 Node.js 處理程序。流程序列允許使用最少位元組的深層巢狀 (每層 2 個位元組一個 `[` 和一個 `]`)。在預設的 Node.js 堆疊上大約有 1,0005,000 層級的巢狀 (210 KB 輸入) 耗盡了呼叫堆疊。確切的閾值取決於環境 (叫用時的 Node.js 版本、堆疊大小、呼叫堆疊深度)。注意程式庫的「Parser」(CST 階段) 使用堆疊型反覆方法且不受影響。只有撰寫/解析階段會使用實際的呼叫堆疊遞回。所有三個公開剖析 API 都會受到影響`YAML.parse()`、`YAML.parseDocument()` 和 `YAML.parseAllDocuments()`。1.10.3 和 2.8.3 版包含修補程式。
    (CVE-2026-33532)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - “yaml”是用于 JavaScript 的 YAML 解析器和序列化器。在低于 1.10.3 的 [ 1.x 分支或低于 2.8.3 [] 的 2.x 分支上解析使用 `yaml` 版本的 YAML 文档可能会因堆栈溢出而抛出 RangeError。节点解析/复合阶段使用无深度边界的递归函数调用。能够提供 YAML 进行解析的攻击者可利用小负载 (~210 KB) 触发“RangeError超出调用堆栈上限”。“RangeError”不是“YAMLParseError”因此仅捕获 YAML 特定错误的应用程序将遇到意外的异常类型。根据主机应用程序的异常处理方式这可能会使请求失败或终止 Node.js 进程。流序列允许使用最少的字节进行深层嵌套每层 2 个字节一个“[”和一个“]”。在默认 Node.js 堆栈中大约 1,0005,000 级的嵌套210 KB 输入会耗尽调用堆栈。具体的阈值依赖于环境（Node.js 版本、堆栈大小、调用时的调用堆栈深度）。注意库的“Parser”CST 阶段使用基于堆栈的迭代方法因此不受影响。只有构建/解析阶段使用实际的调用堆栈递归。所有三个公共解析 API 都受到影响：“YAML.parse()”、“YAML.parseDocument()”和“YAML.parseAllDocuments()”。版本 1.10.3、2.8.3 包含补丁。
    (CVE-2026-33532)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2824-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy に対するこの更新では、以下の問題を修正しています

    - CVE-2026-10722: github.com/cilium/ebpf: BTF 文字列オフセット境界チェックにより、不正な形式の ELF/BTF 入力を解析するとクラッシュする可能性 (bsc#1267811)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267185)。
    - CVE-2026-33532: 深くネストされた YAML ドキュメント解析によるサービス拒否 (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:
    golang.org/x/crypto/ssh: 複数の問題 (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリ内のドル引用符付き文字列リテラルでプレースホルダーを使用した場合の SQL インジェクション (bsc#1265440)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 「yaml」は JavaScript 用の YAML パーサーおよびシリアライザーです。 1.10.3 より前の 1.x ブランチまたは 2.8.3 より前の 2.x ブランチの「yaml」バージョンで YAML ドキュメントを解析すると、スタックオーバーフローにより RangeError がスローされる場合があります。ノードの解決/構成フェーズは、深度の制限なしで再帰関数呼び出しを使用します。解析用に YAML を供給できる攻撃者が、小さなペイロード~210 KBで「RangeError: 最大呼び出しスタックサイズを超えました」を発生させる可能性があります。「RangeError」は「YAMLParseError」ではないため、YAML 固有のエラーのみをキャッチするアプリケーションは、予期しない例外タイプに遭遇します。ホストアプリケーションの例外処理によっては、リクエストが失敗したり、Node.jsプロセスが終了したりする可能性があります。フローシーケンスにより、最小限のバイトで深いネスト化が可能になります (レベル毎に 2 バイト: 1 つの `[` と 1 つの `]`)。デフォルトの Node.js スタックでは、約 1,0005,000 レベルのネスト (210 KB 入力) によりコールスタックが枯渇します。正確なしきい値は環境依存です (Node.js バージョン、スタックサイズ、呼び出し時のコールスタックの深さ)。注ライブラリの「Parser」CST フェーズは、スタックベースの反復的アプローチを使用しており、影響を受けません。作成/解決フェーズでのみ、実際のコールスタック再帰が使用されます。3 つの公開されている解析 API がすべて影響を受けます「YAML.parse()」、「YAML.parseDocument()」、および「YAML.parseAllDocuments()」。バージョン 1.10.3 および 2.8.3 にはパッチが含まれています。
    (CVE-2026-33532)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21251-1 アドバイザリで言及されています。

    バージョン 1.17.0 に更新してください。

    セキュリティの問題を修正:

    - CVE-2026-25680: golang.org/x/net/html: 任意の HTML の解析で CPU 時間が過剰に消費され、サービス拒否が発生する可能性があります (bsc#1267185)。
    - CVE-2026-25681: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-27136: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-33532: yaml: 深くネスト化したコレクションを含む入力の解析により、スタックオーバーフローが原因で「RangeError」がスローされ、サービス拒否が発生する可能性があります (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827: golang.org/x/crypto/ssh: 認証された SSH クライアントがサーバーによって拒否されたチャネルを繰り返し開くと、無制限のメモリ増加とクラッシュを引き起こす可能性があります (bsc#1266196)。
    - CVE-2026-39828: golang.org/x/crypto/ssh: SSH サーバー認証コールバックが「nil」以外のパーミッションを持つ「PartialSuccessError」を返す場合、パーミッションが破棄されます (bsc#1266196)。
    - CVE-2026-39829: golang.org/x/crypto/ssh: RSA および DSA 公開鍵パーサーによるキーパラメーターのサイズ制限が適用されないため、細工された公開鍵の処理時に過剰な CPU 消費が発生する可能性があります (bsc#1266196)。
    - CVE-2026-39830: golang.org/x/crypto/ssh: 未承諾のグローバルリクエスト応答を送信する悪意のある SSH ピアにより、接続の読み取りループがブロックされ、リソースリークが発生する可能性があります (bsc#1266196)。
    - CVE-2026-39831: golang.org/x/crypto/ssh: FIDO/U2F セキュリティキータイプの「Verify()」メソッドで「User Presence」フラグチェックが欠落しているため、物理的な接触なしで生成された署名が受け入れられます (bsc#1266196)。
    - CVE-2026-39832: golang.org/x/crypto/ssh: キー転送時に宛先制限が暗黙的に削除され、リモートホストでキーを無制限に使用できるようになります (bsc#1266196)。
    - CVE-2026-39833: golang.org/x/crypto/ssh:「NewKeyring()」によって返されるメモリ内キーリングは、「ConfirmBeforeUse」制約付きのキーを暗黙的に受け入れますが、その制約を適用しません (bsc#1266196)。
    - CVE-2026-39834: golang.org/x/crypto/ssh: SSH チャネルでの単一の「Write」呼び出しで 4GB を超えるデータを書き込むと、整数オーバーフローが発生し、空のパケットを送信する無限ループにつながります (bsc#1266196)。
    - CVE-2026-39835: golang.org/x/crypto/ssh: 「IsUserAuthority」または「IsHostAuthority」を設定せずに「CertChecker」を公開鍵コールバックとして使用する SSH サーバーでの証明書処理により、パニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリのドル引用符付き文字列リテラルでプレースホルダーを使用すると、SQL インジェクションが発生する可能性があります (bsc#1265440)。
    - CVE-2026-42502: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42506: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42508: golang.org/x/crypto/ssh: CA に属する取り消された「SignatureKey」の失効チェックが正しく行われません (bsc#1266196)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。
    - CVE-2026-46595: golang.org/x/crypto/ssh: 公開鍵以外のタイプのコールバックが渡された場合、ソースアドレス検証がスキップされます (bsc#1266196)。
    - CVE-2026-46597: golang.org/x/crypto/ssh: 特別に細工された入力の処理時に、AES-GCM パケットデコーダーでバイトから int へのキャストが誤って配置されているため、サーバー側でパニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-46598: golang.org/x/crypto/ssh: 特定の細工された入力の処理により、不正な形式のワイヤバイトをキャストして作成された「ed25519.PrivateKey」が、使用時にパニックを引き起こす可能性があります (bsc#1266196)。

    その他の更新およびバグ修正:

    - バージョン 1.17.0:
      * 機能
        * GraphQL サーバーおよび「gql」サブコマンドを追加。
        * 「otelcol」: Nginx レシーバーを追加。
        * 「otelcol.exporter.prometheus」: クラシックヒストグラムを NHCB に変換。
        * 「database_observability」: MySQL および Postgres に対するさまざまな拡張。
        * 「faro.receiver」: gzip 圧縮リクエスト本文をサポート。
        * Beyla 3.9.8 に更新。
     * バグ修正
       * security: 「x/crypto」、「x/net」、「jackc/pgx/v5」、および「obi」を更新。
       * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
       * 「loki.process」: 潜在的なデッドロックを修正し、ステージシャットダウンを制限。
       * Go を v1.26.4 に更新。
    - バージョン 1.16.3:
      * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
    - バージョン 1.16.2:
      *「loki.process」:「stage.truncate」のルールを変更しなくなり、このステージが使用されるとすべての構成更新でパイプラインがリロードされる。
      *「loki.process」: ステージやレシーバーの変更を伴う更新時のデッドロックの可能性。
      *「otelcol.exporter.awss3」: 欠落している「unique_key_func_name」属性を追加。
    - 脆弱な「yaml」ライブラリへの依存関係を削除。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2824-1 advisory.

    This update for alloy fixes the following issues

    - CVE-2026-10722: github.com/cilium/ebpf: BTF string offset boundary check can lead to crash when parsing     malformed ELF/BTF input (bsc#1267811).
    - CVE-2026-25680,CVE-2026-25681,CVE-2026-27136,CVE-2026-42502,CVE-2026-42506: golang.org/x/net/html:
    multiple issues when parsing HTML files (bsc#1267185).
    - CVE-2026-33532: Denial of Service via deeply nested YAML document parsing (bsc#1260981).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation bypass and privilege escalation (bsc#1266654).
    - CVE-2026-39827,CVE-2026-39828,CVE-2026-39829,CVE-2026-39830,CVE-2026-39831,CVE-2026-39832,CVE-2026-     39833,CVE-2026-39834,CVE-2026-39835,CVE-2026-42508,CVE-2026-46595,CVE-2026-46597,CVE-2026-46598:
    golang.org/x/crypto/ssh: multiple issues (bsc#1266196).
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL injection when placeholders in dollar-     quoted string literals are used in the SQL query (bsc#1265440).
    - CVE-2026-44740: github.com/go-git/go-billy/v5: improper input handling in many components can lead to     DoS via infinite loops, panics or resource consumption (bsc#1267333).
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND parsing can lead to a panic when malformed     payloads are processed (bsc#1267481).
    - CVE-2026-45682: go.opentelemetry.io/obi: keys not deleted by `CappedConcurrentHashMap` after removals     allows repeated connection churn to grow the queue without bound and exhaust heap memory (bsc#1267485).
    - CVE-2026-45685: go.opentelemetry.io/obi: MongoDB TCP parser panics on malformed wire messages and causes     a DoS (bsc#1267488).
    - CVE-2026-45686: go.opentelemetry.io/obi: integer overflow in memcached text protocol parser can crash     the OBI process and cause denial of service (bsc#1267489).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - `yaml` is a YAML parser and serialiser for JavaScript. Parsing a YAML document with a version of `yaml` on     the 1.x branch prior to 1.10.3 or on the 2.x branch prior to 2.8.3 may throw a RangeError due to a stack     overflow. The node resolution/composition phase uses recursive function calls without a depth bound. An     attacker who can supply YAML for parsing can trigger a `RangeError: Maximum call stack size exceeded` with     a small payload (~210 KB). The `RangeError` is not a `YAMLParseError`, so applications that only catch     YAML-specific errors will encounter an unexpected exception type. Depending on the host application's     exception handling, this can fail requests or terminate the Node.js process. Flow sequences allow deep     nesting with minimal bytes (2 bytes per level: one `[` and one `]`). On the default Node.js stack,     approximately 1,0005,000 levels of nesting (210 KB input) exhaust the call stack. The exact threshold is     environment-dependent (Node.js version, stack size, call stack depth at invocation). Note: the library's     `Parser` (CST phase) uses a stack-based iterative approach and is not affected. Only the compose/resolve     phase uses actual call-stack recursion. All three public parsing APIs are affected: `YAML.parse()`,     `YAML.parseDocument()`, and `YAML.parseAllDocuments()`. Versions 1.10.3 and 2.8.3 contain a patch.
    (CVE-2026-33532)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21251-1 advisory.

    Update to version 1.17.0.

    Security issues fixed:

    - CVE-2026-25680: golang.org/x/net/html: parsing arbitrary HTML can consume excessive CPU time, possibly     leading to       denial of service (bsc#1267185).
    - CVE-2026-25681: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-27136: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-33532: yaml: parsing input with deeply nestes collections may throw a `RangeError` due to a     stack overflow       and cause to a denial of service (bsc#1260981).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation       bypass and privilege escalation (bsc#1266654).
    - CVE-2026-39827: golang.org/x/crypto/ssh: authenticated SSH clients that repeatedly open channels which     were rejected       by the server can cause unbounded memory growth and a crash (bsc#1266196).
    - CVE-2026-39828: golang.org/x/crypto/ssh: permissions discarded when an SSH server authentication     callback returns       `PartialSuccessError` with non-`nil` permissions (bsc#1266196).
    - CVE-2026-39829: golang.org/x/crypto/ssh: unenforced size limits on key parameters by the the RSA and DSA     public key       parsers can lead to excessive CPU consumption when processing a crafted public key (bsc#1266196).
    - CVE-2026-39830: golang.org/x/crypto/ssh: malicious SSH peers sending unsolicited global request     responses can block a       connection's read loop and cause a resource leak (bsc#1266196).
    - CVE-2026-39831: golang.org/x/crypto/ssh: missing `User Presence` flag checks in the `Verify()` method     for FIDO/U2F       security key types cause signatures generated without physical touch to be accepted (bsc#1266196).
    - CVE-2026-39832: golang.org/x/crypto/ssh: destination restrictions are silently stripped when forwarding     keys and       allow for unrestricted use of a key on a remote host (bsc#1266196).
    - CVE-2026-39833: golang.org/x/crypto/ssh: in-memory keyring returned by `NewKeyring()` silently accepts     keys with the       `ConfirmBeforeUse` constraint but never enforces it (bsc#1266196).
    - CVE-2026-39834: golang.org/x/crypto/ssh: writing data larger than 4GB in a single `Write` call on an SSH     channel       leads to an integer overflow and an infinite loop that sends empty packets (bsc#1266196).
    - CVE-2026-39835: golang.org/x/crypto/ssh: processing of certificates by SSH servers using `CertChecker`     as a public       key callback without setting `IsUserAuthority` or `IsHostAuthority` can lead to a panic (bsc#1266196).
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: use placeholders in dollar-quoted string     literals in an       SQL query can lead to a SQL injection (bsc#1265440).
    - CVE-2026-42502: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-42506: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-42508: golang.org/x/crypto/ssh: revoked `SignatureKey`s belonging to a CA are not correctly     checked for       revocation (bsc#1266196).
    - CVE-2026-44740: github.com/go-git/go-billy/v5: improper input handling in many components can lead to     DoS via       infinite loops, panics or resource consumption (bsc#1267333).
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND parsing can lead to a panic when malformed     payloads are       processed (bsc#1267481).
    - CVE-2026-45682: go.opentelemetry.io/obi: keys not deleted by `CappedConcurrentHashMap` after removals     allows repeated       connection churn to grow the queue without bound and exhaust heap memory (bsc#1267485).
    - CVE-2026-45685: go.opentelemetry.io/obi: MongoDB TCP parser panics on malformed wire messages and causes     a DoS       (bsc#1267488).
    - CVE-2026-45686: go.opentelemetry.io/obi: integer overflow in memcached text protocol parser can crash     the OBI process       and cause denial of service (bsc#1267489).
    - CVE-2026-46595: golang.org/x/crypto/ssh: source-address validation is skipped if any other type of     callback is passed       other than public key (bsc#1266196).
    - CVE-2026-46597: golang.org/x/crypto/ssh: incorrectly placed cast from bytes to int in the AES-GCM packet     decoder when       processing specially crafted input can lead to for server-side panic (bsc#1266196).
    - CVE-2026-46598: golang.org/x/crypto/ssh: `ed25519.PrivateKey` created by casting malformed wire bytes     due to       processing of certain crafted inputs can lead to panic when used (bsc#1266196).

    Other updates and bugfixes:

    - Version 1.17.0:
      * Features
        * Add GraphQL server and `gql` subcommand.
        * `otelcol`: Add Nginx receiver.
        * `otelcol.exporter.prometheus`: Convert classic histograms to NHCB.
        * `database_observability`: Various enhancements for MySQL and Postgres.
        * `faro.receiver`: Support gzip-compressed request bodies.
        * Update to Beyla 3.9.8.
     * Bug Fixes
       * security: Update `x/crypto`, `x/net`, `jackc/pgx/v5`, and `obi`.
       * cluster: Fix nodes failing to join the cluster with TLS enabled.
       * `loki.process`: Fix potential deadlocks and limit stage shutdown.
       * Update Go to v1.26.4.
    - Version 1.16.3:
      * cluster: Fix nodes failing to join the cluster when TLS is enabled.
    - Version 1.16.2:
      * `loki.process`: No longer mutate rules in `stage.truncate` causing every config update to reload     pipeline when this         stage is used.
      * `loki.process`: Potential deadlock on update with stage and receiver changes.
      * `otelcol.exporter.awss3`: Add missing `unique_key_func_name` attribute.
    - Remove dependency on vulnerable `yaml` library.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439222	SCA: security update for yaml (GHSA-48c2-rrv3-qjmp)	Tenable Cloud Security	SCA Checks	2026/3/26	2026/7/2	medium
439222	SCA: security update for yaml (GHSA-48c2-rrv3-qjmp)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/26	2026/7/2	medium
303989	Linux Distros 未修補的弱點：CVE-2026-33532	Nessus	Misc.	2026/3/27	2026/7/6	medium
303989	Linux Distros 未修补的漏洞：CVE-2026-33532	Nessus	Misc.	2026/3/27	2026/7/6	medium
326329	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/13	medium
303989	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33532	Nessus	Misc.	2026/3/27	2026/7/6	medium
326022	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	low
326329	SUSE SLED15 / SLES15 Security Update : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/13	medium
303989	Linux Distros Unpatched Vulnerability : CVE-2026-33532	Nessus	Misc.	2026/3/27	2026/7/6	medium
326022	openSUSE 16 Security Update : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	low

检测

插件搜索

medium

medium

medium

medium

medium

medium

low

medium

medium

low