There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Trivy is a security scanner. Prior to 0.71.0, when Trivy scans a Helm chart archive (.tgz), its custom tar
    unpacker reads each entry with io.ReadAll(tr) and no size limit. An attacker who can place a malicious
    .tgz file in the scanned path can craft a small compressed archive that decompresses to gigabytes, causing
    the Trivy process to be killed by the OS OOM killer. This vulnerability is fixed in 0.71.0.
    (CVE-2026-54448)

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21249-1 アドバイザリで言及されています。

    trivy 用のこの更新は、次の問題を修正します

    バージョン 0.72.0 に更新してください。

    - CVE-2026-54448:tar アンパッカーはスキャンされた Helm チャートアーカイブ(.tgz)を「io.ReadAll(tr)」を定義し、サイズ制限を定義しないため、DoS(bsc#1269271)を引き起こす可能性があります。
    - CVE-2026-55092:OCIアーティファクトマニフェストの「org.opencontainers.image.title」アノテーションが検証せずに宛先ファイル名として使用され、任意のファイル書き込みにつながる可能性があります(bsc#1269269)。

    その他の更新およびバグ修正:

    - バージョン 0.72.0:
      * feat(bottlerocket):Bottlerocket OS(#10893)の脆弱性マッチングを追加します
      * 修正(misconf):github_repository_vulnerability_alerts リソースのサポート(#10680)
      * feat(java):パッケージ化された LICENSE ファイルから JAR ライセンスを検出します(#10856)
      * fix(nodejs):マルチドキュメント pnpm-lock.yaml からのプロジェクト依存関係を解析します(#10861)
      * fix(server):パッケージリポジトリクラスをクライアント/サーバーモードで伝播(#10874)
      * chore(deps):github.com/containerd/containerd/v2 を 2.3.1 から 2.3.2 へ更新します(#10888)
      * 修正(脆弱性):脆弱性の詳細が欠落している場合は重要度が不明な場合、重要度が不明に戻る(#10795)
      * feat(java):埋め込まれたpom.xmlからJARライセンスを検出します(#10851)
      * chore(deps):github.com/cenkalti/backoff を v6 にアップグレードします(#10863)
      * ci(helm): Trivy Helm Chart 0.23.2 に対して、Trivy バージョンを 0.71.2 に更新します (#10873)
      * chore(deps):alpine を 3.24.1 に更新します(#10868)
      * docs:プラグイン開発者ガイドの記事の誤字を修正します(#10860)
      * feat(misconf):CloudFront 標準ロギング v2 サポートを AVD-AWS-0010 に追加します(#10848)
      * docs:誤字を修正します(#10857)
      * 修正(terraform):グローバルゲッターでのデータ競合を回避します。リモートモジュールリゾルバーのゲッター(#10843)
      * feat(secret):GitHub App インストールトークンの新しいステートレス形式をサポートします(#10826)
      * 修正:診断メッセージの正しいフォーマット動詞(#10805)
      * ci(helm): Trivy Helm Chart 0.23.1 に対して、Trivy バージョンを 0.71.1 に更新します (#10845)
      * リファクタリング:ParseErrorsWhitelist の代わりに ParseErrorsAllowlist を使用(#10830)
      * docs:リポジトリスキャンの見出しの誤字を修正します(#10828)
      * 修正:ospkg を通じて ospkg 検出器オプションを転送します。NewScanner(#10811)
      * chore(deps):v1.70.0 に github.com/bufbuild/buf を更新(#10801)
      * fix(vex):リポジトリディレクトリ内から VEX ドキュメントをロードします(#10820)
      * ci!:docker config を dockers_v2 に移行します(#10783)
      * feat(dotnet):自己完結型展開でバンドルされたランタイムを検出します(#10786)
      * feat(secret):OpenAIシークレット検出ルールを追加します(#10798)
      * ci:GitHubアプリボットをバックポートPR作成者として期待する(#10813)
      * 修正:コンテキストキャンセルの代わりに元の分析エラーを表面化(#10793)
      * chore(deps):github-actions グループを 11 の更新で 1 つのディレクトリにまたがって更新します(#10803)
      * chore(deps): 4 つの更新で共通グループを更新します (#10797)
      * chore(deps):4 つの更新で aws グループを更新します(#10796)
      * 修正:PID の代わりに、プロセスの一時ディレクトリにランダムなサフィックスを使用(#10431)
      * docs:deb および rpm パッケージの署名認証を更新します(#10784)
      * 修正(画像):マージされたレイヤーでカスタムリソースのオリジンレイヤーを検索(#10788)
      * ci:GoReleaser を v2.16.0 に更新(#10774)
      * docs:インストールガイドの壊れた nixpkgs 参照リンクを修正します(#10776)
      * fix(image):SBOM が組み込まれているイメージに対する決定論的 OS パッケージの重複排除(#10777)
      * fix(spdx):SPDX マーシャラーの nil root コンポーネントに対する保護(#10771)
      * ci(helm): Trivy Helm Chart 0.23.0 に対して、Trivy バージョンを 0.71.0 に更新します (#10768)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21249-1 advisory.

    This update for trivy fixes the following issues

    Update to version 0.72.0.

    - CVE-2026-54448: tar unpacker reads scanned Helm chart archives (.tgz) with `io.ReadAll(tr)` and defines     no size       limit, which can lead to a DoS (bsc#1269271).
    - CVE-2026-55092: `org.opencontainers.image.title` annotation from OCI artifact manifest is used as a     destination       filename without validation and can lead to arbitrary file writes (bsc#1269269).

    Other updates and bugfixes:

    - Version 0.72.0:
      * feat(bottlerocket): add vulnerability matching for Bottlerocket OS (#10893)
      * fix(misconf): support github_repository_vulnerability_alerts resource (#10680)
      * feat(java): detect JAR licenses from packaged LICENSE files (#10856)
      * fix(nodejs): parse project dependencies from multi-document pnpm-lock.yaml (#10861)
      * fix(server): propagate package repository class in client/server mode (#10874)
      * chore(deps): bump github.com/containerd/containerd/v2 from 2.3.1 to 2.3.2 (#10888)
      * fix(vuln): fall back to UNKNOWN severity when vulnerability details are missing (#10795)
      * feat(java): detect JAR licenses from the embedded pom.xml (#10851)
      * chore(deps): Upgrade github.com/cenkalti/backoff to v6 (#10863)
      * ci(helm): bump Trivy version to 0.71.2 for Trivy Helm Chart 0.23.2 (#10873)
      * chore(deps): bump alpine to 3.24.1 (#10868)
      * docs: fix article typo in plugin developer guide (#10860)
      * feat(misconf): Adds CloudFront standard logging v2 support to AVD-AWS-0010 (#10848)
      * docs: fix typos (#10857)
      * fix(terraform): avoid data race on global getter.Getters in remote module resolver (#10843)
      * feat(secret): support new stateless format for GitHub App installation tokens (#10826)
      * fix: correct format verbs in diagnostic messages (#10805)
      * ci(helm): bump Trivy version to 0.71.1 for Trivy Helm Chart 0.23.1 (#10845)
      * refactor: use ParseErrorsAllowlist instead of ParseErrorsWhitelist (#10830)
      * docs: fix repository scan heading typo (#10828)
      * fix: forward ospkg detector options through ospkg.NewScanner (#10811)
      * chore(deps): bump github.com/bufbuild/buf to v1.70.0 (#10801)
      * fix(vex): load VEX documents from within the repository directory (#10820)
      * ci!: migrate docker config to dockers_v2 (#10783)
      * feat(dotnet): detect bundled runtime in self-contained deployments (#10786)
      * feat(secret): add OpenAI secret detection rules (#10798)
      * ci: expect GitHub App bot as backport PR author (#10813)
      * fix: surface the original analysis error instead of context cancellation (#10793)
      * chore(deps): bump the github-actions group across 1 directory with 11 updates (#10803)
      * chore(deps): bump the common group with 4 updates (#10797)
      * chore(deps): bump the aws group with 4 updates (#10796)
      * fix: use random suffix for process temp directory instead of PID (#10431)
      * docs: update signature verification for deb and rpm packages (#10784)
      * fix(image): lookup origin layer for custom resources in merged layers (#10788)
      * ci: bump GoReleaser to v2.16.0 (#10774)
      * docs: fix broken nixpkgs reference link in installation guide (#10776)
      * fix(image): deterministic OS package deduplication for images with embedded SBOMs (#10777)
      * fix(spdx): guard against nil root component in SPDX marshaler (#10771)
      * ci(helm): bump Trivy version to 0.71.0 for Trivy Helm Chart 0.23.0 (#10768)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
444710	SCA: security update for github.com/aquasecurity/trivy (GHSA-q3fv-x8vg-qqm4)	Tenable Self-Hosted Container Security	SCA Checks	2026/7/15	2026/7/15	medium
444710	SCA: security update for github.com/aquasecurity/trivy (GHSA-q3fv-x8vg-qqm4)	Tenable Cloud Security	SCA Checks	2026/7/15	2026/7/15	medium
326034	openSUSE 16 セキュリティ更新 : trivy (openSUSE-SU-2026:21249-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/31	high
326034	openSUSE 16 Security Update : trivy (openSUSE-SU-2026:21249-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/31	high

检测

插件搜索

medium

medium

high

high