リモートのopenSUSE 16ホストには、openSUSE- SU-2026:20676-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ビルドの変更:

    - 新たな IgnoreRebuild 構成をサポートします。

    - build-recipe-kiwi:

      * oci コンテナのサポートを追加します
      * コンテナイメージを不必要に圧縮することを避けます
      * ビルド結果ファイル名に基づいてコンテナイメージを検出します

    - メインパッケージのサマリーおよび説明を使用するように queryrecipe を修正

    - config:slfo-main ビルド構成を追加します
    - bash 4 では不要な内側の引用符をドロップし、bash 3 では区切りします
    - build:ccache の場合、テスト後 -e も -L を受け入れます

    - コンテナ：

      * microdnf パッケージマネージャーサポートを追加します
      * container-timestamp ビルドオプションの実験的サポートを追加します

    - sbom:

      * v1 intoto データの作成を許可
      * spdx:ルートパッケージに OPERATING-SYSTEM パッケージを接続
      * 製品の vcs と disturl を転送します

    - signdummy での --cms-nocerts と --cms-keyid をサポートします
    - コンテナ内部の chroot ビルドをサポートします
    - RunService ツールにより、モードを指定できます。現在は、プレーンな git ソースでも使用できます
    - cpio 作成の --mtime オプションのサポート
    - generate_sbom:

       * unzck 圧縮 repomd ファイルもサポート
       * ディレクトリが欠如している場合 --product 失敗
       * zstd 圧縮 repomd データをサポート

    - build-vm-lxc:lxc >= 5 をサポートします
    - vc:NIS を使用していない場合の迷惑なエラーメッセージを非表示にします

    - leap-16.0 および leap-16.1 ビルド構成を追加しました。
      (現在は sl16.0 という名前ではなく、git ブランチと同じ文字列を使用)

    - signdummy に cmssign サポートを実装します
    - pbuild:修正されたコミットを含む git 資産を不変としてマークします
    - ムコシ
      * 古いパラメーターを渡す前に、それらがサポートされているかどうかをチェックします
      * 古い bash バージョンをサポート
    - PE magic で始まる小さなファイルでクラッシュしません

    - 強化export_debian_orig_from_git(CVE-2024-22038、 boo#1230469)

    product-composer の変更:

    バージョン0.9.6への更新：

      * rpm ヘッダーの読み取りを高速化します
      * 出力行をフラッシュして、OBS で正しいタイムスタンプを取得します

    バージョン0.9.5への更新：

      * OBS でステップごとの使用時間を追跡するために、もう少し冗長にします
      * エポックとバージョン比較を行う際のクラッシュを修正

    バージョン0.9.4への更新：

      * すべてのバイナリリビジョンを使用せずに updateinfo メタデータを追加しようとすると、エラーが発生します。
      * vcs および disturl データを generate_sbom に引き渡します。
        (このため、最新のビルドパッケージが必要です)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:4212-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 0.5.4 に更新済み：
      - CVE-2024-22038: DoS 攻撃、細工された Git リポジトリに関する情報漏洩を修正しました (bnc#1230469)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0857-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-22038: DoS 攻撃、細工された Git リポジトリに関する情報漏洩を修正しました (bnc#1230469)

    その他の修正:
    - VM ビルドで「--shell」別名「osc shell」オプションを使用する際の動作を修正しました。起動はより高速化され、アクセス許可もそのまま維持されます。

    - obs-docker-support adn mkbaselibs に対する POSIX 互換性の修正
    - docker/podman ビルドの apk のサポートを追加
    - Docker イメージで「wget」のサポートを追加
    - Dockerfile ビルドの debian サポートを修正
    - コンテナのプレインストールイメージを修正
    - mkosi: build-recipe で直接使用されるシステムパッケージを再度追加
    - pbuild: Debian リポジトリのリリースファイルを解析

    - mkosi: ほとんどの systemd/build-packages 依存関係を削除し、存在する場合は obs_scm ディレクトリをソースとして使用する
    - ソースコピー処理の改善
    - --repos-directory および --containers-directory オプションの導入

    - productcompose: baseiso に対するビルドをサポート
    - preinstallimage: ビルドスクリプトで生成されたファイルの組み込みを避ける
    - kiwi と productcompose のソースコピーインのタイムスタンプを保持する
    - alpine パッケージのサポートを更新
    - tumbleweed 設定の更新

    - debian: 外部アーキテクチャパッケージのインストールをサポート (armv7l セットアップに必要)
    - 不明なタイムゾーンを UTC として解析する
    - Apk (Alpine Linux) 形式のサポートを追加
    - パラメーター拡張にデフォルト値を実装
    - & を「and」として使用する補足機能をサポート
    - skopeo の引数パーサーの回避策を追加
    - power9 に cap-htm=off を追加
    - chown 呼び出しの使用率を修正
    -「purl」ロケーターから先行する「go」を削除

    - 関連するコンテナ
      * kiwi レシピで新しい <containers> 要素のサポートを実装
      * SBOM およびマルチステージコンテナビルドの依存関係を修正
      * obs-docker-support: dnf と yum の置換を有効化
    - Arch Linux:
      * Arch repo のファイルパスを修正
      * サポートされていないアーキテクチャを除外
      * ダウンロードユーザーとして root を使用
    - build-vm-qemu: riscv64 で sv48 satp モードを強制する
    - mkosi: 
      * mkosi ビルド後に .sha256 ファイルを作成
      * mkosi に常に --image-version を渡す
    - 全般的な改善とバグ修正 (mkosi、pbuild、appimage/livebuild、obs 作業検出、ドキュメント、SBOM)
    - unpack_slsa_provenance の slsa v1 をサポート
    - generate_sbom: spdx サプライヤを上書きしない
    - export_debian_orig_from_git を強化 (bsc#1230469)

    - SBOM 生成:
      - golang イントロスペクションサポートの追加
      - Rust バイナリイントロスペクションのサポートを追加
      - 不明なライセンスを追跡し、「hasExtractedLicensingInfos」セクションを追加
      - Cycronedx のライセンスも正規化
      - generate_sbom エラーを重大なものとする
      - 全般的な改善
    - buildir が削除されたために機能しない noprep ビルドを修正
    - kiwi image: /var/lib/dpkg/status が存在する場合は Debian ビルドも検出する
    - コードポイントを utf8 に変換するのに Encode モジュールを使用しない
    - riscv のパーソナリティ syscall 番号を修正
    - KVM ビルドに必要な推奨事項をさらに追加
    - build-recipe-arch の PACKAGER フィールドを設定
    - _modulemd.yaml の書き込みを修正
    - pbuild: --release および --baselibs オプションをサポート
    - コンテナ：
      - 注釈からコンテナ情報にベースコンテナ情報をコピーする
      - 複数のステージにわたってベースコンテナを追跡する
      - ベースコンテナを常に依存関係の最後に配置する

    - createdirdeps ツールでの fileprovides の提供
    - ビルドフラグの nocheck を導入

    - productcompose：__all__ オプションをサポート
    - 設定更新: preinstallexpand を使用した tumbleweed
    - マイナーな改善

    - tumbleweed ビルド設定の更新
    - %load マクロをサポート
    - コンテナファイル名生成の改善 (docker)
    - ビルド中にハングする curl 呼び出しを修正 (docker)
    - productcompose: マイルストーンクエリを修正

    - tumbleweed ビルド設定の更新
    - 15.6 ビルド設定の修正
    - sourcerpm および sourcedep 処理の修正
    - productcompose:
      - マイルストーンの処理を修正
      - bcntsynctag をサポート
    - generate_sbom への debian サポートの追加
    - loongarch64 カーネルのパーソナリティスイッチの syscall を追加
    - vm-build: ext3 & ext4: ディスク領域の割り当てを修正
    - mkosi 形式の更新、まだ完全には機能していない
    - pbuild の例外の修正
    - 現在の fedora および centos distros に対する修正
    - OBS-DCH-RELEASE が設定されている場合に、元の dsc ソースをコピーしない
    - ソース/パッチの解析を中断しない
    - dockerfile パーサーで ForceMultiVersion をサポート
    - rpm 4.17.1 の %bcond をサポート

    - systemd 255.3 のハックを追加。プレインストール後に /etc/os-release がない場合は空の /etc/os-release を作成する。
    - docker: dummyhttpserver の HEAD リクエストを修正
    - pbuild: docker-nobasepackages の expand フラグをデフォルトにする
    - rpm: いくつかのビルトイン rpm マクロをサポート
    - rpm: define/with/bcond... の引数拡張を実装
    - 複数行のマクロ処理を修正
    - %autosetup の -N パラメーターを受け入れる
    - ドキュメントの更新
    - さまざまなコードのクリーンアップおよび高速化作業。

    - ProductCompose: 複数の改善
    - buildflags:define_specfile のサポートを追加
    - git サブディレクトリソースのコピーインを修正
    - pbuild: XML 解析を高速化
    - pubild: 製品設定サポート
    - generate_sbom: ヘルプオプションを追加
    - podman: runtime=runc を強制
    - distro 設定から直接競合を実装
    - changelog2spec: タイムゾーン処理を修正
    - チェックスクリプトを実行する前に /proc/sys/fs/binfmt_misc をアンマウントしない
    - 仕様ファイルのクリーンアップ
    - ドキュメントの更新

    - productcompose:
      - サポートスキーマ 0.1
      - サポートマイルストーン
    - Leap 15.6 の設定
    - SLE 15 SP6 の設定

    - productcompose: 互換性のないフレーバー構文の変更に従う
    - pbuild: zstd のサポート

    - カーネルパッケージ経由の cmdline パラメーターの処理を修正

    - productcompose:
      * BREAKING: 新しいスキーマをサポート
      * フレーバーアーキテクチャの解析を適応させる

    - productcompose:
      * フィルタリングされたパッケージリストをサポート
      * デフォルトのアーキテクチャリスト表示をサポート
      * VM ビルドのバイナリコピーを修正^

    - obsproduct ビルドタイプの名前が productcompose に変更された

    - zstd 圧縮 rpm-md メタデータをサポート (bsc#1217269)
    - Debian 12 設定を追加
    - 最初の ObsProduct ビルド形式のサポート

    - SLE 15 SP5 ビルドの設定を修正
    - obs リポジトリのユーザーエージェント処理を改善

    - Docker：
      - Dockerfile でフレーバー固有のビルドの説明をサポートする。$flavor
      - 推奨パッケージも提供する「PlusRecommended」ヒントをサポート
      - 名前とバージョンの両方がわかっている場合は、ファイル名としてその名前とバージョンを使用する
      - デフォルトで docker 形式のコンテナを生成する
    - pbuild: OBS リソースの署名認証のサポート
    - --vm-type podman のワイプビルドルートを修正
    - BUILD_RELEASE および BUILD_CHANGELOG_TIMESTAMP を /.buildenv に配置
    - build-vm-kvm: riscv64 で -cpu ホストを使用
    - 軽微な修正とクリーンアップ

    - ソースに BcntSyncTag のパーサーを追加

    - pbuild:
      * スペック以外のビルドタイプの依存関係の拡張を修正
      * サイクル処理コードを修正
      * --extra-packs オプションを追加
      * debugflags オプションを追加
    - Pass-through --buildtool-opt
    - パッチとソース行をより正確に解析する
    - tunefs 機能を修正
    - マイナーなバグ修正

    - --vm-type=podman を追加 (ルートのないビルドもサポート)
    - Dockerfile でのビルド制約もサポート
    - マイナーな修正

    - SUSE ALP ビルドの設定を追加

    - 変更: プロジェクト設定を解析するときにエラーが記録され、以前の動作は未定義
    - コンテナ: 圧縮形式の設定オプションをサポート
    - --no-init で ccache をセットアップしない
    - loongarch64 サポートを改善
    - sbom: SPDX サプライヤタグを追加
    - kiwi: プロファイルごとに異なるバージョンをサポート
    - preinstallimage: 再圧縮が失敗すると失敗する
    - 推奨および補足の依存関係のサポートを追加
    -「keepfilerequires」拡張フラグをサポート
    -「--buildtool-opt=OPTIONS」を追加して、使用されるビルドツールにオプションを渡す
    - distro 設定の更新
      * ArchLinux
      * Tumbleweed
    - ドキュメントの更新

    - openSUSE Tumbleweed: 設定を同期し、suse_version 1699 に移動。

    - ユニバーサルポストビルドフック。/usr/lib/build/post_build.d/ にファイルを置くのみ
    - mkbaselibs/hwcaps、パターン名を再度修正 (x86_64_v3)
    - KiwiProduct: オプションが設定されている場合は --use-newest-package ヒントを追加

    - Dockerfile サポート:
      * マルチビルドフレーバーを引数としてエクスポートする
      * FROM .. スクラッチ行にパラメーターを許可する
      * != linux の場合、ビルド結果に OS 名を含める
    - クロスアーキテクチャ sysroot の directory->symlink の usrmerge 問題を回避する
    - SBOM サポートに関する複数の修正

    - KIWI VM イメージの SBOM サポートを追加

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2024:4212-1 advisory.

    Updated to version 0.5.4:
      - CVE-2024-22038: Fixed DoS attacks, information leaks with crafted Git repositories (bnc#1230469)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:20676-1 advisory.

    Changes in build:

    - Support a new IgnoreRebuild config.

    - build-recipe-kiwi:

      * Add support for oci containers
      * Avoid needlessly compressing container images
      * Detect container images based on build result file name

    - Fix queryrecipe to use the summary and the description from the main package

    - config: Add slfo-main build configuration
    - drop the inner quotes, not needed on bash 4 and breaks on bash 3
    - build: in the ccache case, after test -e also accept -L

    - container:

      * Add microdnf package manager support
      * Add experimental support for the container-timestamp build option

    - sbom:

      * allow to create v1 intoto data
      * spdx: connect OPERATING-SYSTEM package to the root package
      * Transfer product vcs and disturl

    - Support --cms-nocerts and --cms-keyid in the signdummy
    - Support chroot builds inside of containers
    - runservice tool, allow to specify the modes. Can be       used on plain git source now also
    - Support --mtime option for cpio creation
    - generate_sbom:

       * Support also unzck compressed repomd files
       * Fail when given --product directory is missing
       * support zstd compressed repomd data

    - build-vm-lxc: support lxc >= 5
    - vc: Hide an annoying error message when not using NIS

    - added leap-16.0 and leap-16.1 build configs.
      (not named sl16.0 anymore, but using same string as the git branch)

    - Implement cmssign support in signdummy
    - pbuild: mark git assets with a fixed commit as immutable
    - mkosi
      * check if old parameters are supported before passing them
      * support old bash version
    - Do not crash on small files that start with the PE magic

    - Harden export_debian_orig_from_git (CVE-2024-22038, boo#1230469)

    Changes in product-composer:

    update to version 0.9.6:

      * Speed-up reading of rpm headers
      * Flush output lines to get get correct timestamps in OBS

    update to version 0.9.5:

      * Be a bit more verbose to track used times per step in OBS
      * Fix a crash when doing version compare with an epoch

    update to version 0.9.4:

      * Give an error when trying to add updateinfo meta data         without all binary revisions.
      * Hand over vcs and disturl data to generate_sbom.
        (We require a recent build package therefore)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2025:0857-1 advisory.

    -  CVE-2024-22038: Fixed DoS attacks, information leaks with crafted Git repositories (bnc#1230469)

    Other fixes:
    - Fixed behaviour when using '--shell' aka 'osc shell' option       in a VM build. Startup is faster and permissions stay intact       now.

    - fixes for POSIX compatibility for obs-docker-support adn       mkbaselibs
    - Add support for apk in docker/podman builds
    - Add support for 'wget' in Docker images
    - Fix debian support for Dockerfile builds
    - Fix preinstallimages in containers
    - mkosi: add back system-packages used by build-recipe directly
    - pbuild: parse the Release files for debian repos

    - mkosi: drop most systemd/build-packages deps and use obs_scm              directory as source if present
    - improve source copy handling
    - Introduce --repos-directory and --containers-directory options

    - productcompose: support of building against a baseiso
    - preinstallimage: avoid inclusion of build script generated files
    - preserve timestamps on sources copy-in for kiwi and productcompose
    - alpine package support updates
    - tumbleweed config update

    - debian: Support installation of foreign architecture packages               (required for armv7l setups)
    - Parse unknown timezones as UTC
    - Apk (Alpine Linux) format support added
    - Implement default value in parameter expansion
    - Also support supplements that use & as 'and'
    - Add workaround for skopeo's argument parser
    - add cap-htm=off on power9
    - Fixed usage of chown calls
    - Remove leading `go` from `purl` locators

    - container related:
      * Implement support for the new <containers> element in kiwi recipes
      * Fixes for SBOM and dependencies of multi stage container builds
      * obs-docker-support: enable dnf and yum substitutions
    - Arch Linux:
      * fix file path for Arch repo
      * exclude unsupported arch
      * Use root as download user
    - build-vm-qemu: force sv48 satp mode on riscv64
    - mkosi:
      * Create .sha256 files after mkosi builds
      * Always pass --image-version to mkosi
    - General improvements and bugfixes (mkosi, pbuild, appimage/livebuild,                                          obs work detection, documention, SBOM)
    - Support slsa v1 in unpack_slsa_provenance
    - generate_sbom: do not clobber spdx supplier
    - Harden export_debian_orig_from_git (bsc#1230469)

    - SBOM generation:
      - Adding golang introspection support
      - Adding rust binary introspection support
      - Keep track of unknwon licenses and add a 'hasExtractedLicensingInfos'         section
      - Also normalize licenses for cyclonedx
      - Make generate_sbom errors fatal
      - general improvements
    - Fix noprep building not working because the buildir is removed
    - kiwi image: also detect a debian build if /var/lib/dpkg/status is present
    - Do not use the Encode module to convert a code point to utf8
    - Fix personality syscall number for riscv
    - add more required recommendations for KVM builds
    - set PACKAGER field in build-recipe-arch
    - fix writing _modulemd.yaml
    - pbuild: support --release and --baselibs option
    - container:
      - copy base container information from the annotation into the         containerinfo
      - track base containers over multiple stages
      - always put the base container last in the dependencies

    - providing fileprovides in createdirdeps tool
    - Introduce buildflag nochecks

    - productcompose: support __all__ option
    - config update: tumbleweed using preinstallexpand
    - minor improvements

    - tumbleweed build config update
    - support the %load macro
    - improve container filename generation (docker)
    - fix hanging curl calls during build (docker)
    - productcompose: fix milestone query

    - tumbleweed build config update
    - 15.6 build config fixes
    - sourcerpm & sourcedep handling fixes
    - productcompose:
      - Fix milestone handling
      - Support bcntsynctag
    - Adding debian support to generate_sbom
    - Add syscall for personality switch on loongarch64 kernel
    - vm-build: ext3 & ext4: fix disk space allocation
    - mkosi format updates, not fully working yet
    - pbuild exception fixes
    - Fixes for current fedora and centos distros
    - Don't copy original dsc sources if OBS-DCH-RELEASE set
    - Unbreak parsing of sources/patches
    - Support ForceMultiVersion in the dockerfile parser
    - Support %bcond of rpm 4.17.1

    - Add a hack for systemd 255.3, creating an empty /etc/os-release       if missing after preinstall.
    - docker: Fix HEAD request in dummyhttpserver
    - pbuild: Make docker-nobasepackages expand flag the default
    - rpm: Support a couple of builtin rpm macros
    - rpm: Implement argument expansion for define/with/bcond...
    - Fix multiline macro handling
    - Accept -N parameter of %autosetup
    - documentation updates
    - various code cleanup and speedup work.

    - ProductCompose: multiple improvements
    - Add buildflags:define_specfile support
    - Fix copy-in of git subdirectory sources
    - pbuild: Speed up XML parsing
    - pubild: product compose support
    - generate_sbom: add help option
    - podman: enforce runtime=runc
    - Implement direct conflicts from the distro config
    - changelog2spec: fix time zone handling
    - Do not unmount /proc/sys/fs/binfmt_misc before runnint the check scripts
    - spec file cleanup
    - documentation updates

    - productcompose:
      - support schema 0.1
      - support milestones
    - Leap 15.6 config
    - SLE 15 SP6 config

    - productcompose: follow incompatible flavor syntax change
    - pbuild: support for zstd

    - fixed handling for cmdline parameters via kernel packages

    - productcompose:
      * BREAKING: support new schema
      * adapt flavor architecture parsing

    - productcompose:
      * support filtered package lists
      * support default architecture listing
      * fix copy in binaries in VM builds^

    - obsproduct build type got renamed to productcompose

    - Support zstd compressed rpm-md meta data (bsc#1217269)
    - Added Debian 12 configuration
    - First ObsProduct build format support

    - fix SLE 15 SP5 build configuration
    - Improve user agent handling for obs repositories

    - Docker:
      - Support flavor specific build descriptions via Dockerfile.$flavor
      - support 'PlusRecommended' hint to also provide recommended packages
      - use the name/version as filename if both are known
      - Produce docker format containers by default
    - pbuild: Support for signature authentification of OBS resources
    - Fix wiping build root for --vm-type podman
    - Put BUILD_RELEASE and BUILD_CHANGELOG_TIMESTAMP in the /.buildenv
    - build-vm-kvm: use -cpu host on riscv64
    - small fixes and cleanups

    - Added parser for BcntSyncTag in sources

    - pbuild:
      * fix dependency expansion for build types other than spec
      * Reworked cycle handling code
      * add --extra-packs option
      * add debugflags option
    - Pass-through --buildtool-opt
    - Parse Patch and Source lines more accurately
    - fix tunefs functionality
    - minor bugfixes

    - --vm-type=podman added (supports also root-less builds)
    - Also support build constraints in the Dockerfile
    - minor fixes

    - Add SUSE ALP build config

    - BREAKING: Record errors when parsing the project config                 former behaviour was undefined
    - container: Support compression format configuration option
    - Don't setup ccache with --no-init
    - improved loongarch64 support
    - sbom: SPDX supplier tag added
    - kiwi: support different versions per profile
    - preinstallimage: fail when recompression fails
    - Add support for recommends and supplements dependencies
    - Support the 'keepfilerequires' expand flag
    - add '--buildtool-opt=OPTIONS' to pass options to the used build tool
    - distro config updates
      * ArchLinux
      * Tumbleweed
    - documentation updates

    - openSUSE Tumbleweed: sync config and move to suse_version 1699.

    - universal post-build hook, just place a file in /usr/lib/build/post_build.d/
    - mkbaselibs/hwcaps, fix pattern name once again (x86_64_v3)
    - KiwiProduct: add --use-newest-package hint if the option is set

    - Dockerfile support:
      * export multibuild flavor as argument
      * allow parameters in FROM .. scratch lines
      * include OS name in build result if != linux
    - Workaround directory->symlink usrmerge problems for cross arch sysroot
    - multiple fixes for SBOM support

    - KIWI VM image SBOM support added

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:20361-1 advisory.

    Changes in osc:

    - 1.24.0
      - Command-line:
        - Add '--target-owner' option to 'git-obs repo fork' command
        - Add '--self' parameter to fix 'no matching parent repo' error message in 'git-obs pr create'
        - Fix 'osc aggregatepac' for scmsync packages
        - Fix 'osc build' to retrieve buildconfig from git package's cache
        - Fix 'osc token' error handling for project wide trigger
        - Fix string formatting for id in obs-request.xml in 'git-obs pr dump'
      - Library:
        - Consolidate build types in build.py and commandline.py
        - Fix build.get_build_type() by comparing binary_type only if specified
        - Make use of queryconfig tool configurable and consistent
        - Fix how get_request_collection() filters the projects and packages
        - Support copying packages from an scmsync source, when target exists
        - Add timestamps to the DEBUG output
        - Update new project template

    - 1.23.0
      - Command-line:
        - Add '--target-owner' option to 'git-obs pr create' to specify the target owner explicitly
        - Add '--target-branch' option to 'git-obs staging search' command
        - Added 'git-obs staging search' command to find project PRs with referenced package PRs that have all     been approved
        - Change 'git-obs pr dump' to produce directories that match the specified pull request IDs
        - Change 'git-obs pr dump' to write STATUS file
        - Properly error out on invalid 'PR:' references in 'git-obs pr dump'
        - Fix 'git-obs pr create' when the source repo is not a fork
        - Fix 'git-obs api' command when server returns 'null'
        - Fix 'osc build --alternative-project=...' when there's no .osc in the current directory
        - Fix argument and store handling in 'osc results' command
      - Library:
        - Add Manifest.get_package_paths() method that lists all paths to existings packages in a project
        - Fix Manifest class to handle loading empty YAML files or strings
        - Fix working with meta during git rebase by determining the current branch from rebase head
        - Fix handling local branch when fetching remote
        - Move get_label_ids() from PullRequest to Repo class
        - Change GitStore not to require apiurl anymore
        - Fix storing last_buildroot for git packages
        - Store the last buildroot only if there's a store detected
        - Fix BuildRoot so it acts as a tuple and the individual values are accessible via indexes
        - Make PullReqest.parse_id() more permissive by accepting trailing whitespaces
        - Fix 'missingok' argument in server_diff()
        - Fix gitea_api.PullRequest ordering methods
        - Add return to gitea_api.Branch.list()

    - PKGBUILD changes
      * Remove redundant packages from makedepends. If a package depends         on something, it implicitly makedepends on it as well
      * Add python-ruamel-yaml dependency
      * Build and install man pages
      * Add python-argparse-manpage and python-sphinx to makedepends for         building man pages
      * Add check() to run the test suite
      * Add checkdepends for test suite dependencies
      * Add optdepends as an equivalent to RPM's Recommends, making it         easier for users to find packages needed for optional features
      * Use $pkgname variable across the script
      * Install shell completion files
      * Bump pkgrel

    - 1.22.0
      - Command-line:
        - Add 'git-obs staging' commands
        - Add '--gitea-fork-org' option to 'osc fork' command
        - Add '--git-branch' option to 'osc fork' command
        - Add 'DELETE' to 'git-obs api' allowed methods
        - Add commit messages as commented lines to the template in 'git-obs pr create'
        - Add filtering by label to 'git-obs pr list'
        - Properly handle fork mismatch in 'osc fork'
        - Change 'osc build' to build from any git repo if '--alternative-project' is specified
        - Fix 'osc service' for git based packages
        - Fix 'git-obs pr dump' to skip the dump if the target has the same updated_at timestamp as the pull     request in Gitea
        - Fix 'git-obs pr dump' to do case insensitive check on owner and repo
        - Fix retrieving 'arch' argument in 'osc buildlog'
      - Library:
        - Add 'status' to the output of gitea_api.Git.get_submodules()
        - Add 'remote' argument to gitea_api.Repo.clone_or_update()
        - Add gitea_api.common.TemporaryDirectory class that supports 'delete' argument on python 3.6+
        - Add gitea_api.GitDiffGenerator class for creating submodule diffs without a git checkout
        - Add 'depth' argument to gitea_api.Repo.clone() and clone_or_update()
        - Add gitea_api.StagingPullRequestWrapper class for handling staging
        - Add gitea_api.PullRequest.get_host_owner_repo_number() method
        - Make GitObsCommand.add_argument_owner_repo() and add_argument_owner_repo_pull() reusable by allowing     setting 'dest' argument
        - Warn if the git package doesn't have the same branch as the parent project
        - Extend gitea_api.PullRequest with methods that work with 'PR:' references
        - Support setting labels in gitea_api.PullRequest.create()
        - Fix gitea_api to use pagination instead of limit -1 everywhere
        - Remove duplicate, unused PullRequestReview class from gitea_api.pr
        - Move clone_or_update() from 'git-obs pr dump' command to gitea_api.Repo
        - Change gitea_api.Repo.clone_or_update() to take 'ssh_private_key_path' argument
        - Improve performance of gitea_api.IssueTimelineEntry by listing and caching requests instead of     fetching them one by one
        - Make GitObsCommand.add_argument_owner_repo() and add_argument_owner_repo_pull() reusable by allowing     setting 'help' argument
        - Change gitea_api.Repo.clone() to stop borrowing objects when 'reference' or 'reference_if_able' is     used
        - Fix the resulting dictionary in gitea_api.PullRequest._get_label_ids()
        - Make gitea_api.RepoExists exception more helpful by giving a hint to fork under a different name
        - Use server_diff() instead of server_diff_noex() to exit with a non-zero return code
        - Return preinstallimage.info and allow podman to use preinstallimage

    - 1.21.0
      - Command-line:
        - Modify osc subcommands to error out if they don't work with git
        - Add 'git-obs meta' commands for managing the local metadata
        - Add 'git-obs meta info' command for printing resolved metadata about the current checkout
        - Add -b/--branch option to 'git-obs repo clone' command
        - Add 'git-obs pr dump' command to store pull request information on disk
        - Add 'git-obs --quiet' option (that mutes printing gitea settings now)
        - Automatially pull meta after 'git-obs repo clone'
        - Change 'git-obs pr review interactive' to write 'merge ok' comment instead of scheduling a merge
        - Mute stderr when creating a worktree in 'git-obs pr review interactive'
        - Change 'git-obs -G' to accept url to select a gitea login entry
        - Support substitutions in 'osc build --root'
        - Fix crash in 'osc build' when 'build_repositories' in store was None
        - Fix filtering by reviewers in 'git-obs pr list'
        - Update 'osc rq show' command to include history comments in verbose mode
      - Library:
        - Refactor GitStore
          - Migrate git_scm.Store over to gitea_api.Git
          - Store buildinfo and buildconfig files in GitStore's cache instead directly in the repo
          - Move code from 'git-obs meta pull' command to GitStore.pull()
          - Improve GitStore.pull() to support reading project from project.build
          - Rephrase the error message about detached HEAD in GitStore
          - Improve GitStore's error messages by adding instructions on how to fix missing metadata
          - Be more permissive when loading parent project_store in GitStore
          - Fix loading _manifest in a project git
          - Fix git store to check if all the required fields are present
        - Derive package name from topdir if a package is part of a project checkout
        - Change 'git-obs pr review interactive' to run pager process as a context manager
        - Change obs_api.TarDiff to spawn a process extracting archives as a context manager
        - Change 'commit' argument in gitea_api.Git.reset() to optional
        - Add gitea_api.Git.get_owner_repo_from_url() staticmethod
        - Add gitea_api.Git.urljoin() static method
        - Fix gitea_api.Git.get_branch_head() to raise a proper exception if the HEAD cannot be retrieved
        - Fix gitea_api.Git to work with the current remote instead of 'origin'
        - Fix get_store() to throw the exception from git store if .osc directory is not present
        - Introduce GitObsRuntimeError exception and use it where appropriate
        - Fix tardiff by removing directories with shutil.rmtree() and files by os.unlink()
        - Add 'quiet' option to gitea_api.Git.switch()
        - Mute stderr in git_obs.Git.lfs_cat_file()
        - Treat None flavor as  in multibuild resolve
        - Make Token.triggered_at optional as it's not available in the oficially released OBS code
        - Add BaseModel.from_string() and BaseModel.to_string() methods
        - Add BaseModel.from_file() and BaseModel.to_file() methods
        - Fix BaseModel to initialize from a dictionary via __init__ instead of setattr
      - Docs:
        - Update docs for the new git metadata store
        - Update list of recommended gitea permissions in git-obs-quickstart
      - Spec:
        - Install git-obs-metadata man page

    - 1.20.0
      - Command-line:
        - Fix 'osc fork' command to use the right tracking branch
        - Fix 'osc blt' command by checking if the working copy is a package
        - Make 'osc buildlog' work outside of osc package directory
        - Add 'git-obs pr close' and 'git-obs pr reopen' commands
        - Add 'close' option to 'git-obs pr review interactive'
        - Change 'git-obs pr review interactive' to work with all archives, not only those in Git LFS
        - Fix checkout of the base branch in 'git-obs pr review interactive' command
      - Library:
        - Support _manifest file in git store
        - Allow pull request IDs in '<owner>/<repo>!<number>' format
        - Properly handle deleted users and teams in the git-obs timeline
        - Handle situations when there's 'None' among timeline entries
        - Skip binary files in gitea_api.PullRequest.get_patch()
        - Change get_user_input(), add support for vertically printed list of answers
      - Spec:
        - Provide git-obs

    - 1.19.1
      - Command-line:
        - Use OSC_PACKAGE_CACHE_DIR env var instead of deprecated OSC_PACKAGECACHEDIR
      - Connection:
        - Check for both upper and lowercase versions of HTTP_PROXY and HTTPS_PROXY env vars
      - Library:
        - Add 'trackingbranch' field to ScmsyncObsinfo model
        - Revert Return None if GitStore cannot determine apiurl
        - Throw a proper exception when 'apiurl' argument of 'makeurl()' is empty
        - Move code setting apiurl from store to 'osc.conf.get_config()'
        - Simplify 'osc.commandline.Osc.get_api_url()' to return the value from 'self.options'
        - Remove 'osc.commandline.Osc.post_argparse()' because it's no longer used
        - Fix unit tests to use the new code path to run osc
        - Fix osc.gitea_api.dt_sanitize() by replacing dateutil with datetime

    - 1.19.0
      - Command-line:
        - Add 'git-obs pr cancel-scheduled-merge' command
        - Add timeline to 'git-obs pr review interactive'
        - Add '--timeline' option to 'git-obs pr get'
        - Fix 'git-obs pr search' by using pagination to retrieve all results
        - Extend '--message' option in git-obs subcommands with the '-m' short option
        - Add a different message for scheduled merges in 'git-obs pr merge' command
      - Library:
        - Add 'conn' parameter to gitea_api.common.GiteaModel
        - Add gitea_api.Connection.scheme attribute
        - Add gitea_api.PullRequest.merge_commit property
        - Add gitea_api.PullRequest.get_owner_repo_number()
        - Add gitea_api.common.dt_sanitize() for sanitizing datetime strings
        - Handle missing head repo in the PullRequest properties
        - Return None if GitStore cannot determine apiurl
        - Remove extra newline from store files
        - Fix the 'Move remaining imports in osc.babysitter into try-except block' change by preserving the     order of handling the exceptions
      - Spec:
        - Use primary_python to define runtime requires matching the shebang lines
        - Provide %{use_python_pkg}-osc for all pythons and python3-osc for primary_python
        - Add conflict with obs-scm-bridge < 0.7.3

    - 1.18.0
      - Command-line:
        - Add 'git-obs pr comment [--message=...]' command
        - Add 'git-obs pr show-patch' command
        - Add '--reviewer' option to 'git-obs pr review {approve,decline,interactive}' to support group     reviews via group review bot
        - Update 'git-obs pr review interactive' to return non-zero return codes for 'exit' and 'skip' actions
        - Make 'osc results --show-excluded' work in a project context
        - Add '--no-pager' global option
        - Fix 'osc fork' by copying whole query part to the new scmsync url
        - Fix 'osc buildinfo' for git packages by handing the 'build_repositories' files by store objects
        - Fix crash in 'git-obs pr get --patch'
        - Fix git-obs to exit with 130 on keyboard interrupt
        - Fix --sccache help typo in 'osc build' command
      - Connection:
        - Don't retry requests on 504 Gateway Timeout
      - Library:
        - If a devel project is not specified, try reading it from a mapping from URL set in     OBS:GitDevelProjectMap project attribute
        - Improve detection of packages and projects in git
        - scmsync_obsinfo: Pass correct revision to obs-scm-bridge
        - Add obs_api.Request.search() method
        - Raise an exception if obs-scm-bridge fails
        - Fix obs_scm.Package.get_pulled_srcmd5() returning an empty string
        - Fix git store to support non-default remote
        - Extend 'gitea_api.User.get()' to take 'username' parameter
        - Move get_editor() and related functions from command-line module to gitea_api.common
        - Migrate subcommands from using Store() to get_store() that is git aware
        - Make imports lazy to imporove osc load times

    Changes in obs-scm-bridge:

    - use the system default python version (boo#1247410)

    - 0.7.4
      * syntax fix

    - 0.7.3
      * fix .gitsubmodule parser to handle space and tabs mixed

    - package /etc/obs/service directories

    - 0.7.2
      * Improved error reporting of invalid files in package subdirs
      * Introducing a mechanic to limit asset handling

    - 0.7.1
      * export trackingbranch to scmsync.obsinfo

    - 0.7.0
      * supporting _manifest file as successor of _subdirs
      * record configured branch of submodules in package scmsync url
      * stay on the configured branch of a submodule on checkout

    - 0.6.3
      * Allow ssh:// scm urls as used by osc
      * project mode: avoid unecessary changes in package meta url
      * code cleanup

    - fix dependency (it is python3-PyYAML)

    - fix missing dependency to PyYAML

    - 0.6.2
      * Make project mode always look for _config in the top dir, also         when using subdirs.

    - 0.6.1
      * new noobsinfo query parameter         (can be used to hide git informations in sources, binaries          won't contain them either then).

    - 0.6.0
      * project mode: switching to to track package sources using                       git sha sums instead of md5sum via download_assets

    - 0.5.4
      * fixed support of subdir parameter usage on project level
      * Fix handling of projectscmsync in the package xml writers

    - 0.5.3
      * Switch to ssh url when using the bridge via osc

    - 0.5.2
      * Don't overwrite files from git, but complain instead with         an error. For example _scmsync.obsinfo file must not be part         of the git tree. boo#1230469 CVE-2024-22038

    - 0.5.1
      * Don't generate _scmsync.obsinfo outside of OBS source server         import use case (eg. no more for osc co)
      * Enforce python 3.11 requirement
      * Fix export of _scmsync.obsinfo in project mode
      * Fix submodule detection
      * EXPERIMENTAL: support multiple package subdirs via _subdirs                       file. This syntax will change!                       (not documented on purpose therefore atm)
      * Using git credential manager
      * Report some errors as transient, so that OBS can re-try

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
302340	openSUSE 16 セキュリティ更新osc、obs-scm-bridgeopenSUSE-SU-2026:20361-1]	Nessus	SuSE Local Security Checks	2026/3/15	2026/3/15	medium
313694	openSUSE 16 セキュリティ更新:build、product-composer(openSUSE-SU-2026:20676-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
212314	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新 : obs-scm-bridge (SUSE-SU-2024:4212-1)	Nessus	SuSE Local Security Checks	2024/12/11	2024/12/11	medium
232718	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: ビルド (SUSE-SU-2025:0857-1)	Nessus	SuSE Local Security Checks	2025/3/14	2025/3/14	medium
212314	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : obs-scm-bridge (SUSE-SU-2024:4212-1)	Nessus	SuSE Local Security Checks	2024/12/11	2024/12/11	medium
313694	openSUSE 16 Security Update : build, product-composer (openSUSE-SU-2026:20676-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
232718	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : build (SUSE-SU-2025:0857-1)	Nessus	SuSE Local Security Checks	2025/3/14	2025/3/14	medium
302340	openSUSE 16 Security Update : osc, obs-scm-bridge (openSUSE-SU-2026:20361-1)	Nessus	SuSE Local Security Checks	2026/3/15	2026/3/15	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium