There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - quic-go is an implementation of the QUIC protocol in Go. Versions 0.56.0 and below are vulnerable to
    excessive memory allocation through quic-go's HTTP/3 client and server implementations by sending a QPACK-
    encoded HEADERS frame that decodes into a large header field section (many unique header names and/or
    large values). The implementation builds an http.Header (used on the http.Request and http.Response,
    respectively), while only enforcing limits on the size of the (QPACK-compressed) HEADERS frame, but not on
    the decoded header, leading to memory exhaustion. This issue is fixed in version 0.57.0. (CVE-2025-64702)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - quic-go 是 QUIC 协议的 Go 实现。 0.56.0 和更低版本容易受到通过 quic-go 的 HTTP/3 客户端和服务器实现的过量内存分配的影响方法是通过发送解码为大型标头字段部分许多唯一标头名称和/或大型值的 QPACK 编码的标头帧。该实现构建 http.Header分别用于 http.Request 和 http.Response但仅对QPACK 压缩的 HEADERS 帧的大小强制限制但未对解码后的标头强制限制从而导致内存耗尽。此问题已在 0.57.0 版本中修复。(CVE-2025-64702)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - quic-go 是 Go 中的 QUIC 通訊協定實作。 0.56.0 版及以下版本容易透過 quic-go 的 HTTP/3 用戶端和伺服器實作傳送解碼為大型標頭欄位區段 (許多唯一的標頭名稱和/或大型值) 的 QPACK 編碼 HEADERS 框架進而受到過度記憶體配置影響。實作會構建一個 http.Header (分別用於 http.Request 和 http.Response)同時只對 (QPACK 壓縮) HEADERS 框架的大小強制執行限製而對解碼的標頭沒有強制限制這會導致記憶體耗盡。0.57.0 版已修正此問題。(CVE-2025-64702)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの Fedora 44 ホストには、FEDORA-2026-950cac64f2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    caddy 本体およびベンダーライブラリにわたる 17 件の CVE を解決するセキュリティアップデート。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-3dc324bd9a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    caddy 本体およびベンダーライブラリにわたる 22 件の CVE を解決するセキュリティアップデート。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20191-1 アドバイザリで言及されています。

    Trivy の変更

    - バージョン 0.69.0 (bsc#1255366、CVE-2025-64702) に更新してください:
      * リリースv0.69.0 [main]#9886
      * choretrivy-checks を v2 へ更新します#9875
      * chore(deps)github.com/theupdateframework/go-tuf/v2 を 2.3.1 から 2.4.1 へ更新します#10091]
      * fix(repo)欠落している場合は gitAuth 用の nil インターフェイスを返します#10097]
      * fix(java)pom.xml ファイルの親フィールドから正しくプロパティを継承#9111]
      * fix(rust)Cargo mono repos 用のバージョン継承を実装します#10011
      *ft(activestate)ActiveState のイメージを追加します#10081
      *ft(vex)repo ごとの tls 構成をサポートします#10030
      * リファクターリクエストごとにトランスポートオプションのオーバーライドを許可します#10083
      * chore(deps)github.com/sigstore/rekor を 1.4.3 から 1.5.0 へ更新します#10084]
      * chore(deps)github.com/sigstore/sigstore を 1.10.3 から 1.10.4 へ更新します#10085]
      * fix(java)上位 POM から依存関係へリポジトリを適切に伝播します#10077]
      *ft(rocky)モジュールパッケージの脆弱性検出を有効にします#10069
      * chore(deps)github.com/theupdateframework/go-tuf/v2 を 2.3.0 から 2.3.1 へ更新します#10079]
      * docsskip-dirs/skip-files フラグの構成ファイルの例にある間違いを修正します#10070
      *ft(report)Trivy バージョンを JSON 出力に追加します#10065
      * 修正rustカーネルワークスペースメンバーの glob サポートを追加します#10032
      * featureどのアナライザーがパッケージを検出したかを追跡するために AnalyzedBy フィールドを追加#10059
      * 修正埋め込まれた License.json から正規の SPDX ライセンス ID を使用します#10053
      * docsDocker イメージ仕様へのリンクが修正されます#10057
      *ft(secret)Symfony デフォルト秘密鍵の検出を追加します#9892
      * refactor(misconf)共通ロジックをベースの値に移動し、型付きの値を簡素化します#9986]
      * 修正javapom.xml ファイルからのパッケージ向け pkgID に対する GAV+root pom ファイルパスのハッシュを追加します#9880
      *ft(misconf)Terraform プラン構成を使用してスキーマを部分的に復元します#9623
      *ft(misconf)Terraform スキーマにアクションブロックを追加します#10035
      * 修正misconfブロックおよび属性名の誤字を修正#9993
      * test(misconf)*Test ヘルパーを使用してテスト値を簡素化#9985
      * 修正misconfgoogle_kms_crypto_key の rotation_period を安全に解析します#9980]
      *ft(misconf)オブジェクトとして定義された ARM リソースのサポート#9959
      *ft(misconf)azurerm_*_web_app のサポート#9944
      * testプライベートテストヘルパーを「export_test.go」コンテキストに移行します#10043
      * chore(deps)github.com/sigstore/cosign/v2 を 2.2.4 から 2.6.2 へ更新します#10048]
      * 修正secretHugging Face トークンのワード境界検出を改善します#10046
      * 修正(go)すべての pseudo-version に対して ldflags バージョンを使用します#10037]
      * chore内部およびユーザーインターフェースフィールドで AVDID から ID に切り替えます#9655
      * refactor(misconf)!プロバイダーマッピングのために AVDID の代わりに ID を使用します#9752]
      * 修正JSON スキーマで配列タイプフィールドの項目に enum を移動します#10039
      * docs不適切なドキュメントの URL が修正されます#10038
      *ft(sbom).dist-info/sboms/ の PEP 770 SBOM を除外します#10033
      * 修正docker組み込み SBOM のあるイメージの non-det スキャン結果を修正します#9866
      * chore(deps)github-actions グループを 11 の更新で更新します#10001]
      * test2026 ロールオーバー後のアサーションを修正します#10002
      * fix(vuln)スキャンを失敗することなく CentOS Stream ファミリーの脆弱性検出をスキップします#9964]
      * 修正(ライセンス)PostAnalyzers のライセンスを正規化#9941
      *ft(nodejs)「package-lock.json」ファイルからライセンスを解析#9983
      * choreGo Wiki への参照リンクを更新します#9987
      * リファクターxslices.Map を追加し、lo.Map の使用を置換します#9984]
      * fix(image)画像アーチファクト検査での競合状態#9966
      *ft(flag)trivy.yaml 構成ファイル用の JSON スキーマを追加#9971
      * refactor(debian)テストデータに対して txtar 形式を使用します#9957]
      * chore(deps)「golang.org/x/tools」を「v0.40.0」に更新し、「gopls」を「v0.21.0」に更新します#9973
      *ft(rootio)trivy db を更新し、root.io フィードからの深刻度の使用をサポートします#9930]
      *ft(vuln)Debian/Ubuntu のサードパーティパッケージの脆弱性スキャンをスキップ#9932
      * docs「--file-pattern」フラグがデフォルトの動作を無効にしないという情報を追加します#9961
      * perf(misconf)azure スキャナーで文字列の連結を最適化します#9969
      * choreクライアントオプションをインストールスクリプトに追加します#9962
      * ci(helm): Trivy Helm Chart 0.20.1 に対して、Trivy バージョンを 0.68.2 に更新します (#9956)
      * chore(deps)github.com/quic-go/quic-go を 0.54.1 から 0.57.0 へ更新します#9952]
      * docssigstore バンドル用にバイナリ署名検証が更新されます#9929
      * chore(deps)alpine を「3.22.1」から「3.23.0」へ更新します#9935
      * chore(alpine)alpine に対する EOL の日付を追加します 3.23#9934]
      *ft(cloudformation)Fn::ForEach のサポートを追加します#9508
      * ci「setup-go」用の「check-latest」を有効化#9931
      *ft(debian)メンテナーリストを使用してサードパーティパッケージを検出#9917
      * fix(vex) CVE-2025-66564 を not_affected として Trivy VEX ファイルに追加します#9924]
      *ft(helm)sslCertDir パラメーターを追加します#9697
      * 修正misconfHelm チャートが検出されたとき .yml ファイルを順守します#9912
      *ft(php)Composer 内の dev 依存関係のサポートを追加します#9910
      * chore(deps)9 つの更新で 1 ディレクトリ全体で共通グループを更新します#9903]
      * chore(deps)docker グループ内で github.com/docker/cli を 29.0.3+incompatible から 29.1.1+incompatible へ更新します#9859
      * 修正statefulset テンプレートで末尾のタブを削除します#9889
      *ft(julia)Julia 言語エコシステムに対して脆弱性スキャンを有効にします#9800
      *ft(misconf)初期の ansible スキャンサポート#9332]
      *ft(misconf)Azure データベーススキーマの更新#9811
      * ci(helm): Trivy Helm Chart 0.20.0 に対して、Trivy バージョンを 0.68.1 に更新します (#9869)
      * choreインストールスクリプトを更新します#9874

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-3dc324bd9a advisory.

    Security update resolving 22 CVEs across both caddy itself and its vendored libraries.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - quic-go is an implementation of the QUIC protocol in Go. Versions 0.56.0 and below are vulnerable to     excessive memory allocation through quic-go's HTTP/3 client and server implementations by sending a QPACK-     encoded HEADERS frame that decodes into a large header field section (many unique header names and/or     large values). The implementation builds an http.Header (used on the http.Request and http.Response,     respectively), while only enforcing limits on the size of the (QPACK-compressed) HEADERS frame, but not on     the decoded header, leading to memory exhaustion. This issue is fixed in version 0.57.0. (CVE-2025-64702)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-950cac64f2 advisory.

    Security update resolving 17 CVEs across both caddy itself and its vendored libraries.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20191-1 advisory.

    Changes in trivy:

    - Update to version 0.69.0 (bsc#1255366, CVE-2025-64702):
      * release: v0.69.0 [main] (#9886)
      * chore: bump trivy-checks to v2 (#9875)
      * chore(deps): bump github.com/theupdateframework/go-tuf/v2 from 2.3.1 to 2.4.1 (#10091)
      * fix(repo): return a nil interface for gitAuth if missing (#10097)
      * fix(java): correctly inherit properties from parent fields for pom.xml files (#9111)
      * fix(rust): implement version inheritance for Cargo mono repos (#10011)
      * feat(activestate): add support ActiveState images (#10081)
      * feat(vex): support per-repo tls configuration (#10030)
      * refactor: allow per-request transport options override (#10083)
      * chore(deps): bump github.com/sigstore/rekor from 1.4.3 to 1.5.0 (#10084)
      * chore(deps): bump github.com/sigstore/sigstore from 1.10.3 to 1.10.4 (#10085)
      * fix(java): correctly propagate repositories from upper POMs to dependencies (#10077)
      * feat(rocky): enable modular package vulnerability detection (#10069)
      * chore(deps): bump github.com/theupdateframework/go-tuf/v2 from 2.3.0 to 2.3.1 (#10079)
      * docs: fix mistake in config file example for skip-dirs/skip-files flag (#10070)
      * feat(report): add Trivy version to JSON output (#10065)
      * fix(rust): add cargo workspace members glob support (#10032)
      * feat: add AnalyzedBy field to track which analyzer detected packages (#10059)
      * fix: use canonical SPDX license IDs from embeded licenses.json (#10053)
      * docs: fix link to Docker Image Specification (#10057)
      * feat(secret): add detection for Symfony default secret key (#9892)
      * refactor(misconf): move common logic to base value and simplify typed values (#9986)
      * fix(java): add hash of GAV+root pom file path for pkgID for packages from pom.xml files (#9880)
      * feat(misconf): use Terraform plan configuration to partially restore schema (#9623)
      * feat(misconf): add action block to Terraform schema (#10035)
      * fix(misconf): correct typos in block and attribute names (#9993)
      * test(misconf): simplify test values using *Test helpers (#9985)
      * fix(misconf): safely parse rotation_period in google_kms_crypto_key (#9980)
      * feat(misconf): support for ARM resources defined as an object (#9959)
      * feat(misconf): support for azurerm_*_web_app (#9944)
      * test: migrate private test helpers to `export_test.go` convention (#10043)
      * chore(deps): bump github.com/sigstore/cosign/v2 from 2.2.4 to 2.6.2 (#10048)
      * fix(secret): improve word boundary detection for Hugging Face tokens (#10046)
      * fix(go): use ldflags version for all pseudo-versions    (#10037)
      * chore: switch to ID from AVDID in internal and user-facing fields (#9655)
      * refactor(misconf)!: use ID instead of AVDID for providers mapping (#9752)
      * fix: move enum into items for array-type fields in JSON Schema (#10039)
      * docs: fix incorrect documentation URLs (#10038)
      * feat(sbom): exclude PEP 770 SBOMs in .dist-info/sboms/ (#10033)
      * fix(docker): fix non-det scan results for images with embedded SBOM (#9866)
      * chore(deps): bump the github-actions group with 11 updates (#10001)
      * test: fix assertion after 2026 roll over (#10002)
      * fix(vuln): skip vulns detection for CentOS Stream family without scan failure (#9964)
      * fix(license): normalize licenses for PostAnalyzers (#9941)
      * feat(nodejs): parse licenses from `package-lock.json` file (#9983)
      * chore: update reference links to Go Wiki (#9987)
      * refactor: add xslices.Map and replace lo.Map usages (#9984)
      * fix(image): race condition in image artifact inspection (#9966)
      * feat(flag): add JSON Schema for trivy.yaml configuration file (#9971)
      * refactor(debian): use txtar format for test data (#9957)
      * chore(deps): bump `golang.org/x/tools` to `v0.40.0` + `gopls` to `v0.21.0` (#9973)
      * feat(rootio): Update trivy db to support usage of Severity from root.io feed (#9930)
      * feat(vuln): skip vulnerability scanning for third-party packages in Debian/Ubuntu (#9932)
      * docs: add info that `--file-pattern` flag doesn't disable default behaviuor (#9961)
      * perf(misconf): optimize string concatenation in azure scanner (#9969)
      * chore: add client option to install script (#9962)
      * ci(helm): bump Trivy version to 0.68.2 for Trivy Helm Chart 0.20.1 (#9956)
      * chore(deps): bump github.com/quic-go/quic-go from 0.54.1 to 0.57.0 (#9952)
      * docs: update binary signature verification for sigstore bundles (#9929)
      * chore(deps): bump alpine from `3.22.1` to `3.23.0` (#9935)
      * chore(alpine): add EOL date for alpine 3.23 (#9934)
      * feat(cloudformation): add support for Fn::ForEach (#9508)
      * ci: enable `check-latest` for `setup-go` (#9931)
      * feat(debian): detect third-party packages using maintainer list (#9917)
      * fix(vex): add CVE-2025-66564 as not_affected into Trivy VEX file (#9924)
      * feat(helm): add sslCertDir parameter (#9697)
      * fix(misconf): respect .yml files when Helm charts are detected (#9912)
      * feat(php): add support for dev dependencies in Composer (#9910)
      * chore(deps): bump the common group across 1 directory with 9 updates (#9903)
      * chore(deps): bump github.com/docker/cli from 29.0.3+incompatible to 29.1.1+incompatible in the docker     group (#9859)
      * fix: remove trailing tab in statefulset template (#9889)
      * feat(julia): enable vulnerability scanning for the Julia language ecosystem (#9800)
      * feat(misconf): initial ansible scanning support (#9332)
      * feat(misconf): Update Azure Database schema (#9811)
      * ci(helm): bump Trivy version to 0.68.1 for Trivy Helm Chart 0.20.0 (#9869)
      * chore: update the install script (#9874)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
436357	SCA: security update for github.com/quic-go/quic-go (GHSA-g754-hx8w-x2g6)	Tenable Cloud Security	SCA Checks	2025/12/11	2026/7/2	medium
436357	SCA: security update for github.com/quic-go/quic-go (GHSA-g754-hx8w-x2g6)	Tenable Self-Hosted Container Security	SCA Checks	2025/12/11	2026/7/2	medium
278506	Linux Distros 未修补的漏洞：CVE-2025-64702	Nessus	Misc.	2025/12/12	2026/6/28	medium
278506	Linux Distros 未修補的弱點：CVE-2025-64702	Nessus	Misc.	2025/12/12	2026/6/28	medium
324621	Fedora 44 : caddy (2026-950cac64f2)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/1	critical
324614	Fedora 43 : caddy (2026-3dc324bd9a)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/1	critical
298721	openSUSE 16 セキュリティ更新trivyopenSUSE-SU-2026:20191-1	Nessus	SuSE Local Security Checks	2026/2/12	2026/2/12	high
324614	Fedora 43 : caddy (2026-3dc324bd9a)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/1	critical
278506	Linux Distros Unpatched Vulnerability : CVE-2025-64702	Nessus	Misc.	2025/12/12	2026/6/28	medium
324621	Fedora 44 : caddy (2026-950cac64f2)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/1	critical
298721	openSUSE 16 Security Update : trivy (openSUSE-SU-2026:20191-1)	Nessus	SuSE Local Security Checks	2026/2/12	2026/2/12	high

检测

插件搜索

medium

medium

medium

medium

critical

critical

high

critical

medium

critical

high