リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3630-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-47911:golang.org/x/net/html:HTML ドキュメントを解析する際に二次複雑度を持つアルゴリズムにより、サービス拒否(bsc#1251420)が可能になります。
    - CVE-2025-47914:golang.org/x/crypto/ssh/agent:新しい ID リクエストを処理するときにメッセージサイズが検証されないため、領域外読み取り(bsc#1254014)によるパニックが発生する可能性があります。
    - CVE-2025-58181:golang.org/x/crypto/ssh:GSSAPI 認証リクエストにおけるメカニズムの数の検証がないために、制限のないメモリ消費が引き起こされる可能性があります(bsc#1253935)。
    - CVE-2025-58190:golang.org/x/net/html:「html.特別に細工された入力を処理するとき、ParseFragment」がサービス拒否(bsc#1251615)を引き起こす可能性があります。
    - CVE-2026-13201: virt-handler-rhel9: kubevirt:「/proc/self/fd」を通じた safepath の「OpenAtNoFollow」シンボリックリンクが続くと、ホストファイルのメタデータが修正される可能性があります(bsc#1269093)。
    - CVE-2026-13622:virt-handler 移行プロキシはシンボリックリンクに従い、ホストへのコンテナエスケープを許可します(bsc#1272840)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267120)。
    - CVE-2026-33814:golang.org/x/net/http2:細工された「SETTINGS_MAX_FRAME_SIZE」のある HTTP/2 SETTINGS フレームの処理は、無限ループおよびサービス拒否(bsc#1265736)につながる可能性があります。
    - CVE-2026-35469:github.com/moby/spdystream:SPDY/3 フレームパーサーの攻撃者の制御する入力の検証が不適切なために、細工された SPDY フレームによるサービス拒否が可能になります(bsc#1262265)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266575)。
    - CVE-2026-46600:パラメーター値のサイズがメッセージバッファをオーバーフローしたときの無効な SVCB または HTTPS RR の解析により、パニックが発生する可能性があります(bsc#1273606)。
    - CVE-2026-56852:切り捨てられた/無効な UTF-8 入力の不適切な処理により、無限ループが発生する可能性があります(bsc#1272000)。

    その他の更新およびバグ修正:

    - 「go1.25」の vet(「x/net」 0.55.0 リベンダーが必要とするツールチェーン)に失敗する、非定数フォーマット文字列(「cmd/virt-chroot」、「tests/」)を含む「printf」スタイル呼び出しを修正しました。動作を変更せずに書き直されました。
    - Go >= 1.25 で構築します(「golang.org/x/net」 0.55で必要)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/SLES_SAP15 ホストには、SUSE-SU-2026:3604-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    kubevirt用のこの更新プログラムでは、以下の問題が修正されています:

    - CVE-2026-13622:「virt-handler」移行プロキシがシンボリックリンクに従うため、コンテナをホストにエスケープできます(bsc#1272840)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21590-1 アドバイザリで言及されています。

    バージョン 1.8.4 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-13201: virt-handler-rhel9: kubevirt:「/proc/self/fd」を通じた safepath の「OpenAtNoFollow」シンボリックリンクが続くと、ホストファイルのメタデータが修正される可能性があります(bsc#1269093)。
    - CVE-2026-13622:virt-handler 移行プロキシはシンボリックリンクに従い、ホストへのコンテナエスケープを許可します(bsc#1272840)。
    - CVE-2026-25680、 CVE-2026-25681、 CVE-2026-27136、 CVE-2026-42502、 CVE-2026-42506:golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267120)。
    - CVE-2026-33814:golang.org/x/net/http2:細工された「SETTINGS_MAX_FRAME_SIZE」のある HTTP/2 SETTINGS フレームの処理は、無限ループおよびサービス拒否(bsc#1265736)につながる可能性があります。
    - CVE-2026-35469:github.com/moby/spdystream:SPDY/3 フレームパーサーの攻撃者の制御する入力の検証が不適切なために、細工された SPDY フレームによるサービス拒否が可能になります(bsc#1262265)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266575)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、 CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、 CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、 CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、 CVE-2026-46598：
      golang.org/x/crypto/ssh:「x/crypto/ssh」での複数の問題(bsc#1266151)。
    - CVE-2026-46600:パラメーター値のサイズがメッセージバッファをオーバーフローしたときの無効な SVCB または HTTPS RR の解析により、パニックが発生する可能性があります(bsc#1273606)。
    - CVE-2026-56852:切り捨てられた/無効な UTF-8 入力の不適切な処理により、無限ループが発生する可能性があります(bsc#1272011)。

     その他の更新およびバグ修正:

    - リリースマニフェストのイメージ参照を修正します(bsc#1272604)。
    - 「libguestfs-tools」サブパッケージを追加します。
    - Go >= 1.25 で構築します(「golang.org/x/net」 0.55で必要)。
    - バージョン 1.8.4:
      * node-labeller:完全な機能拡張のために新しい「libvirt」フラグを使用します。
      * 「GetLauncherClient」での gRPC 接続漏洩を修正します。接続セットアップ失敗時の GHOST ランチャーの記録をクリーンアップします。
      * api:「VMI VSOCK CID」およびチェックサムステータスフィールドを「uint32」として検証。
      * virt-operator:帯域外の変更を完全にサポートするためにカナリアフローを調整します。
      * 新しい「virt-api」/「virt-handler」/「virt-operator」のレディとダウンのメトリクス、アラート、記録ルール。
    - 「disks-images-provider.yaml」を v1.8.4 イメージタグにリフレッシュします。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3630-1 advisory.

    - CVE-2025-47911: golang.org/x/net/html: algorithms that have quadratic complexity when parsing HTML     documents allow       for denial of service (bsc#1251420).
    - CVE-2025-47914: golang.org/x/crypto/ssh/agent: no validation of message size when processing new     identity requests       can cause a panic due to an out-of-bounds read (bsc#1254014).
    - CVE-2025-58181: golang.org/x/crypto/ssh: no validation of number of mechanisms in GSSAPI authentication     requests can       cause unbounded memory consumption (bsc#1253935).
    - CVE-2025-58190: golang.org/x/net/html: excessive memory consumption by `html.ParseFragment` when     processing specially       crafted input can lead to a denial of service (bsc#1251615).
    - CVE-2026-13201: virt-handler-rhel9: kubevirt: safepath `OpenAtNoFollow` symlink following via     `/proc/self/fd` allows       host file metadata modification (bsc#1269093).
    - CVE-2026-13622: virt-handler migration proxy follows symlinks and allows container escape to host     (bsc#1272840).
    - CVE-2026-25680,CVE-2026-25681,CVE-2026-27136,CVE-2026-42502,CVE-2026-42506: golang.org/x/net/html:
    multiple issues       when parsing HTML files (bsc#1267120).
    - CVE-2026-33814: golang.org/x/net/http2: processing of HTTP/2 SETTINGS frames with a crafted     `SETTINGS_MAX_FRAME_SIZE`       can lead to an infinite loop and a denial of service (bsc#1265736).
    - CVE-2026-35469: github.com/moby/spdystream: improper validation of attacker-controlled input in the     SPDY/3 frame       parser allows for a denial of service via crafted SPDY frames (bsc#1262265).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation       bypass and privilege escalation (bsc#1266575).
    - CVE-2026-46600: parsing of invalid SVCB or HTTPS RR when the size of a parameter value overflows the     message buffer       can lead to panic (bsc#1273606).
    - CVE-2026-56852: improper handling of truncated/invalid UTF-8 input can lead to an infinite loop     (bsc#1272000).

    Other updates and bugfixes:

    - Fixed `printf`-style calls with non-constant format strings (`cmd/virt-chroot`, `tests/`) that fail     `go1.25`'s vet       (toolchain required by the `x/net` 0.55.0 re-vendor); rewritten with no behavior change.
    - Build with Go >= 1.25 (required by `golang.org/x/net` 0.55).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2026:3604-1 advisory.

    This update for kubevirt fixes the following issue:

    - CVE-2026-13622: `virt-handler` migration proxy follows symlinks, allowing container escape to host     (bsc#1272840).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21590-1 advisory.

    Update to version 1.8.4.

    Security issues fixed:

    - CVE-2026-13201: virt-handler-rhel9: kubevirt: safepath `OpenAtNoFollow` symlink following via     `/proc/self/fd` allows       host file metadata modification (bsc#1269093).
    - CVE-2026-13622: virt-handler migration proxy follows symlinks and allows container escape to host     (bsc#1272840).
    - CVE-2026-25680, CVE-2026-25681, CVE-2026-27136, CVE-2026-42502, CVE-2026-42506: golang.org/x/net/html:
    multiple issues       when parsing HTML files (bsc#1267120).
    - CVE-2026-33814: golang.org/x/net/http2: processing of HTTP/2 SETTINGS frames with a crafted     `SETTINGS_MAX_FRAME_SIZE`       can lead to an infinite loop and a denial of service (bsc#1265736).
    - CVE-2026-35469: github.com/moby/spdystream: improper validation of attacker-controlled input in the     SPDY/3 frame       parser allows for a denial of service via crafted SPDY frames (bsc#1262265).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation       bypass and privilege escalation (bsc#1266575).
    - CVE-2026-39827, CVE-2026-39828, CVE-2026-39829, CVE-2026-39830, CVE-2026-39831, CVE-2026-39832,     CVE-2026-39833,       CVE-2026-39834, CVE-2026-39835, CVE-2026-42508, CVE-2026-46595, CVE-2026-46597, CVE-2026-46598:
      golang.org/x/crypto/ssh: multiple issues in `x/crypto/ssh` (bsc#1266151).
    - CVE-2026-46600: parsing of invalid SVCB or HTTPS RR when the size of a parameter value overflows the     message buffer       can lead to panic (bsc#1273606).
    - CVE-2026-56852: improper handling of truncated/invalid UTF-8 input can lead to an infinite loop     (bsc#1272011).

     Other updates and bugfixes:

    - Fix the release manifests' image references (bsc#1272604).
    - Add a `libguestfs-tools` subpackage.
    - Build with Go >= 1.25 (required by `golang.org/x/net` 0.55).
    - Version 1.8.4:
      * node-labeller: use new `libvirt` flags for full feature expansion.
      * Fix gRPC connection leak in `GetLauncherClient`; clean up ghost launcher record on connection setup     failure.
      * api: validate `VMI VSOCK CID` and checksum status fields as `uint32`.
      * virt-operator: refine canary flow to fully support out-of-band changes.
      * New `virt-api`/`virt-handler`/`virt-operator` ready and down metrics, alerts and recording rules.
    - Refresh `disks-images-provider.yaml` to the v1.8.4 image tag.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
337974	SUSE SLES15 セキュリティ更新:kubevirt-1.6、virt-api-container-1.6、virt-controller-container-1.6、virt-exportproxy-container-1.6、virt-exportserver-container-1.6、virt-handler-container-1.6、virt-launcher-container-1.6、 virt-libguestfs-tools-container-1.6、virt-operator-container-1.6、 virt-pr-helper-container-1.6、 virt-synchronization-controller-container-1.6 (SUSE-SU-2026:3630-1)	Nessus	SuSE Local Security Checks	2026/8/19	2026/9/3	high
335341	SUSE SLES15 セキュリティ更新プログラム:kubevirt(SUSE-SU-2026:3604-1)	Nessus	SuSE Local Security Checks	2026/8/14	2026/8/14	high
338629	openSUSE 16:kubevirt1.8-container-disk/kubevirt1.8-libguestfs-tools/etc(openSUSE-SU-2026:21590-1)	Nessus	SuSE Local Security Checks	2026/8/21	2026/9/3	high
337974	SUSE SLES15 Security Update : kubevirt-1.6, virt-api-container-1.6, virt-controller-container-1.6, virt-exportproxy-container-1.6, virt-exportserver-container-1.6, virt-handler-container-1.6, virt-launcher-container-1.6, virt-libguestfs-tools-container-1.6, virt-operator-container-1.6, virt-pr-helper-container-1.6, virt-synchronization-controller-container-1.6 (SUSE-SU-2026:3630-1)	Nessus	SuSE Local Security Checks	2026/8/19	2026/9/3	high
335341	SUSE SLES15 Security Update : kubevirt (SUSE-SU-2026:3604-1)	Nessus	SuSE Local Security Checks	2026/8/14	2026/8/14	high
338629	openSUSE 16: kubevirt1.8-container-disk / kubevirt1.8-libguestfs-tools / etc (openSUSE-SU-2026:21590-1)	Nessus	SuSE Local Security Checks	2026/8/21	2026/9/3	high

检测

插件搜索

high

high

high

high

high

high