There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - filippo.io/edwards25519 is a Go library implementing the edwards25519 elliptic curve with APIs for
    building cryptographic primitives. In versions 1.1.0 and earlier, MultiScalarMult produces invalid results
    or undefined behavior if the receiver is not the identity point. If (*Point).MultiScalarMult is called on
    an initialized point that is not the identity point, it returns an incorrect result. If the method is
    called on an uninitialized point, the behavior is undefined. In particular, if the receiver is the zero
    value, MultiScalarMult returns an invalid point that compares Equal to every other point. Note that
    MultiScalarMult is a rarely used, advanced API. For example, users who depend on filippo.io/edwards25519
    only through github.com/go-sql-driver/mysql are not affected. This issue has been fixed in version 1.1.1.
    (CVE-2026-26958)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - filippo.io/edwards25519 是一種以建置密碼編譯基元的 API 實作 edwards25519 橢圓曲線的 Go 程式庫。在 1.1.0 和更舊版本中如果接收者不是身分識別點則 MultiScalarMult 會產生無效的結果或未定義的行為。如果在非身分識別點的初始化點上呼叫 (*Point).MultiScalarMult則會傳回不正確的結果。如果在未初始化的點上呼叫該方法則行為未定義。特別是如果接收者是零值MultiScalarMult 會傳回一個無效點其會將 Equal 與其他所有點進行比較。請注意MultiScalarMult 是一種很少使用的進階 API。例如僅透過 github.com/go-sql-driver/mysql 依賴 filippo.io/edwards25519 的使用者不會受到影響。1.1.1 版已修正此問題。
    (CVE-2026-26958)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - filippo.io/edwards25519 是一个 Go 库通过用于构建加密原语的 API 来实现 edwards25519 椭圆曲线。在 1.1.0 及更低版本中如果接收方不是身份点MultiScalarMult 会产生无效结果或未定义行为。如果在非身份点的已初始化点上调用 (*Point).MultiScalarMult 将返回错误结果。如果在未初始化的点上调用 方法则行为未定义。特别是如果接收方为零值则 MultiScalarMult 会返回一个无效点该点与每个其他点进行了比较。请注意MultiScalarMult 是一种很少使用的高级 API。例如仅通过 github.com/go-sql-driver/mysql 依赖 filippo.io/edwards25519 的用户不受影响。此问题已在 1.1.1 版本中修复。
    (CVE-2026-26958)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2438-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy 用のこの更新は、次の問題を修正します

    セキュリティ問題:

    - CVE-2026-4427:github.com/jackc/pgproto3/v2:フィールド長の不適切な検証により、悪意のある PostgreSQL サーバーが DataRow メッセージを介してクライアントアプリケーションをクラッシュさせる可能性があります(bsc#1259919)。
    - CVE-2026-25934:github.com/go-git/go-git/v5:.pack ファイルと .idx ファイルのデータの整合性値の検証が不適切なために、破損したファイルが消費される可能性があります(bsc#1258099)。
    - CVE-2026-26958:filippo.io/edwards25519:MultiScalarMult でレシーバーの初期化に失敗すると、無効な結果が生成され、未定義の動作につながる可能性があります(bsc#1258609)。
    - CVE-2026-33186:google.golang.org/grpc:HTTP/2 の不適切な検証による承認バイパス:
    path 擬似ヘッダー(bsc#1260317)。
    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262955)。
    - CVE-2026-41602:github.com/apache/thrift:TFramedTransport フレームサイズヘッダーにより、uint32 整数オーバーフローが発生する可能性があります(bsc#1263530)。

    非セキュリティ問題:

    - systemd tmpfiles.d を使用して、/var/lib/alloy 階層を作成します(jsc#PED-14815)。
    - バージョン 1.16.1 への更新
     * バグ修正ロギング:ロギング構成を評価する前にコンポーネントログを記録する際のスタートアップデッドロックを修正します Beyla 3.9.8 への更新 Docker から Moby への移行
    - Web UI アセットの構築に最新の openSUSE Tumbleweed イメージを使用します
    - nvm をインストールして、upstream を指定するノードバージョンを設定します
    - 1.16.0 への更新:
     * 特徴
     - loki.source.kubernetes_events のクラスタリングを追加します(#6027)(3dbf587)(@petewall)
     - otelcol.auth.google クライアント認証プロバイダーを追加します(#5526)(da99a66)(@dashpole、@clayton-cornell)
     - beyla.ebpf:v3.7.0 に更新します(#5966)(5126c2e)(@marctc)
     - database_observability:GCP Cloud SQL メタデータのサポートを追加します(#5875)(5d23245)(@cristiangreco、@clayton-cornell)
     - database_observability:ターゲットを任意にします(#5924)(54664b2)(@matthewnolf)
     - database_observability:デフォルトで除外されるスキーマとユーザーを更新します(#6080)(b386fff)(@cristiangreco)
     - faro.receiver:リモートロケーションからのソースマップフェッチを追加します(#4614)(b6cb5da)(@Oxel40)
     - helm:global.image.pullPolicy のサポートを追加します(#6069)(2e2ce72)(@petewall)
     - helm:構成リロードのためのイメージプルポリシーの構成を許可します(#5923)(991539b)(@kalleep)
     - loki.secretfilter:タイムアウトしたログの行をマークするためのオプションlabel_timed_outを追加します(#5898)(2ad8834)(@kleimkuhler)
     - loki.secretfilter:secrets_redacted_by_category_totalメトリック結合ルールと生成元を追加します(#5855)(053a2f7)(@kleimkuhler)
     - loki.secretfilter:stdlib の代わりに go-re2 正規表現ライブラリを使用するように secretfilter を変更します(#5909)(c16a660)(@mikefat)
     - loki.secretfilter:冗長な secrets_redacted_by_rule_total および secrets_redacted_by_origin メトリクスを削除します(#5970)(b16decb)(@kleimkuhler)
     - Oracleエクスポート者は複数の DB をスクレイピングできます(#6008)(6fbad38)(@ptodev)
     - prometheus.exporter.cloudwatch:YACE をアップグレードし、aws-sdk-go v1 サポートをドロップします(#5936)(f1c036d)(@x1unix)
     - prometheus.exporter.mysql:mysqld_exporter 0.19.0 への更新(#5836)(4f49b57)(@cristiangreco)
     - prometheus.remote_write:WAL を Upstream Prometheus と同期します(#5907)(e74a91b)(@x1unix)
     - pyroscope:追加の async-profiler CLI 引数のサポートを追加します(#5472)(9251e33)(@ivanape)
     - pyroscope:Parca gRPCデバッグ情報のアップロードをPyroscope Connect APIで置き換えます(#5891)(e7ea34a)(@korniltsev-grafanista)
     - pyroscope:HTTP/1.1 アップロードAPI用のdebuginfoクライアントを更新します(#6037)(879d8e5)(@korniltsev-grafanista)
     - サービス停止コマンドを「sc」から「net」へ変更します(#5906)(450973d)(@mateuszdrab)
     - database_observability.mysql:plan ループのバッチサイズをリファクタリングします(#5894)(f0fcd6b)(@cristiangreco)
     - database_observability.postgres:再接続時の埋め込まれたエクスポーターコレクターをクリーンアップします(#6079)(f30d9ae)(@cristiangreco)
     - database_observability.postgres:プレースホルダーが繰り返されるときの EXPLAIN パラメーターカウントを修正します(#6082)(b612b81)(@rgeyer)
     - database_observability:ログからschema_detectionを破棄します(#6076)(b0105cb)(@cristiangreco)
     - database_observability:connection_info_monitor goroutine が停止で終了するようにします(#5874)(1e3334b)(@cristiangreco)
     - deps:モジュール github.com/aws/aws-sdk-go-v2/service/s3 を v1.97.3 に更新 [セキュリティ] (#6004) (38f4346)
     - deps:モジュール github.com/go-git/go-git/v5 を v5.17.1 に更新 [セキュリティ] (#5934)(a5154af)
     - deps:モジュール github.com/go-git/go-git/v5 を v5.18.0 に更新 [セキュリティ] (#6090)(0e59d64)
     - deps:モジュール github.com/nwaples/rardecode/v2 を v2.2.0 に更新します [セキュリティ](b44d51a)(@jharvey10)
     - deps:モジュール go.opentelemetry.io/otel/exporters/otlp/otlpmetric/otlpmetrichttp を v1.43.0 に更新します [セキュリティ] (#6016) (d92c5c0) go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp v1.43.0 に更新します [セキュリティ] (#6017) (e655bbc)
     - deps:モジュール go.opentelemetry.io/otel/sdk を v1.43.0 に更新 [セキュリティ] (#6018) (94006e8)
     - deps:いくつかのマイナー go dep バージョンを更新します(#5896)(4ddd0ed)(@jharvey10)
     - go:合金ビルダーのイメージを Go 1.25.9 に更新します(#6012)(d2ae8b8)(@x1unix)
     - go:Go 1.25.9 にアップグレードします(#6019)(d777ed1)(@x1unix、@kalleep)
     - Helm:RBAC テンプレートが空のルール配列を処理します(#4860)(c9430e9)(@naptalie、@dehaansa、@kalleep)
     - loki.process:マルチラインステージのストリームごとの goroutine を排除します(#6036)(c089e2e)(@kgeckhart)
     - loki.process:stage.structured_metadata が同一のメタデータを複数回追加することを防ぎます(#5965)(0ec8a26)(@kalleep、@thampiotr)
     - loki.process:テンプレートをカスタムタイプでラップし、検証を構文に移動します。バリデーター (#5910) (700dd7d) (@kalleep)
     - prometheus.exporter.postgres:更新で DB 接続を切断します(#6021)(8da97cf)(@kalleep)
     - prometheus.scrape:実行時に更新されるようにscrape_native_histogramsを更新します(#6087)(18b205c)(@kalleep)
     - pyroscope.ebpf:irsymcache の LRU 削除のデッドロックを修正します(#5911)(03ca563)(@luweglarz)
     - pyroscope.ebpf:コンポーネントエラー処理後に Pyroscope ebpf メトリクス登録を移動します(#5540)(a3c57c0)(@crbednarz、@marcsanmi)
     - pyroscope:debuginfo connect-goクライアントにユーザーエージェントを設定します(#6022)(38ad1ef)(@korniltsev-grafanista)
     - ui:大きな引数がレンダリングされるのではなくファイルとしてダウンロードされます(#5268)(26c67b3)(@ptodev)
     - go-m1cpu v0.1.7 -> v0.2.1 を更新して、M5 チップのクラッシュを修正します(#6034)(7fa0cbc)(@ymotongpoo)
     - windows-installer:障害遅延時のサービス再起動を増加します(#5969)(add15b1)(@rknightion)
    - NPM でホストシステムを危険にさらしたり汚染したりしないように、podman コンテナ内の Web 資産をパッケージ化するためのスクリプトを追加します
    - 1.15.1 への更新:
     goroutine が停止時に終了します
     * CVE-2026-34986:JWE 復号化でのパニックを修正(bsc#1262955)
    - 1.15.0 への更新:
     * 互換性に影響する変更
     - otelcol:OTel Collector v0.147.0 にアップグレードしてください
     - 以前は <component_id><metric_name> が付いたドキュメント化されていないメトリクスの名前が loki_source_awsfirehose に変更されました。<metric_name>
     * セキュリティ CVE-2026-26958:filippo.io/edwards25519 をバージョン 1.1.1 (bsc#1258609)に更新してください。
     - alloy-mixin:フィルター、groupBy、複数選択ダッシュボード変数を追加します
     - beyla.ebpf:Prometheus ネイティブのヒストグラムのサポートを追加します
     - beyla.ebpf:Beyla を v3.6 に更新します
     - コンバーター:Promtail limits_configの変換をサポート
     - database_observability.mysql:クエリサンプルのフィルタリングを追加し、最小期間によるイベントを待機します
     - database_observability.mysql:db-o11y コンポーネント内に prometheus エクスポーターを組み込みます
     - database_observability.postgres:クエリpg_stat_statements構成可能な制限を追加します
     - database_observability.postgres:prometheus エクスポーターを組み込みます
     - database_observability:コンポーネントを安定版にプロモートします
     - 空の msg フィールドがある syslog を処理する機能を露出します
     - loki.process:構造化メタデータを loki.process の stage.labels のソースタイプとしてサポートします
     - loki.secretfilter:secretfilter エントリのサンプリングを追加します
     - loki.source.gcplog:MaxOutstandingBytes と MaxOutstandingMessages の合金構成を追加します
     - loki.write:loki パイプラインレイテンシメトリクスを追加します
     - mixin:loki ダッシュボードを更新します
     - otelcol.receiver.datadog:インテークプロキシおよびtrace_id_cache_size設定を公開します
     - prometheus.exporter.cloudwatch:デフォルトで aws-sdk-go-v2 を使用します
     - pyroscope.ebpf:comm、pid ラベルおよびカーネルフレームオプションを追加します
    - 1.14.1 への更新:
     - otelcol.receiver.kafka 構成で非推奨のトピックフィールドを正しく処理します
     - loki.process:docker json 形式とは思えない json に対して保護します
     - loki.source.file:読み取りが終了したときに圧縮ファイルの位置を保持します
     - prometheus.scrape:scrape_native_histograms と extra_metrics が更新されていても、引数とターゲットが更新されます
    - 1.14.0 への更新:
     - loki.secretfilter:一部の構成オプションが完全に削除されました:
     partial_mask (redact_percent で置き換えられます)、許可リスト (現在はカスタム gitleaks 設定で制御されます)、enable_entropy、include_generic、タイプ (現在はカスタム gitleaks 設定で制御されます)。
     - otelcol.receiver.prometheus:otelcol.receiver.prometheus は、OTLP メトリクスの開始時刻を設定しなくなりました。
     * セキュリティ:
    - 1.13.2 への更新:
     - 欠落しているotelcol.processor.tail_samplingオプションを露出します
     - mixin:zip されたダッシュボードをリリース成果物として追加します
     - profiler:gopclntab textStart 修正 1.26 Go をバックポートします
     - prometheus.exporter.postgres:エクスポーターフォークのバージョンを更新し、pg_settingsを修正します
     - pyroscope.ebpf:dotnet ニブルマップ修正をバックポートします
    - 1.13.1 への更新:
     - 新しいものを開始する前のタイムアウト
    - 1.13.0 への更新:
     - otelcol:OTel Collector v0.142.0 にアップグレードしてください
     - otelcol.receiver.kafka:グローバルトピック属性は削除されました。代わりに、Logs、Metrics、Traces ブロック内の Topics 属性を使用します。
     - otelcol.exporter > sending_queue >バッチ> min_sizeを 8192 から 2000 へ、max_size を 0 から 3000 へ変更しました
     - otelcol.connector.servicegraph に virtual_node_peer_attributes と virtual_node_extra_label 引数を追加します
     - otelcol.processor.metric_start_timeコンポーネントの追加
     - CW エクスポーターに対するジョブレベルの期間、長さ、add_cloudwatch_timestampのオプションとlabels_snake_caseを追加します
     - k8sattributes プロセッサに欠落している構成パラメーター deployment_name_from_replicasetを追加します
     - pyroscope.ebpf にアップロードされる parcas シンボルが追加されます
     - loki.write のシャーディングを追加します
     - 公開されていない otel エンジンと拡張をコードベースに追加し、ビルド構造を変更します
     - beyla.ebpf:beyla.ebpf.attributes.kubernetes にmeta_cache_addressを追加します
     - beyla.ebpf:Beyla を v2.8.5 にアップグレードしてください
     - otelcol.exporter コンポーネント内のバッチブロックsending_queue >デフォルトを変更します
     - cluster:で DNS ディスカバリモードのプレフィックスをサポート
     --cluster.join-addresses フラグ
     - コンバーター:loki.source.file のfile_matchブロックを使用するために promtail コンバーターを更新します
     - database_observability:postgres コンポーネントのヘルスチェックコレクターを追加します
     - database_observability:exclude_schemas と exclude_databases の設定を露出します
     - database_observability:Azure クラウドプロバイダーの構成データをサポート
     - database_observability.mysql:すべてのコレクターにおけるスキーマの除外をサポート
     - database_observability.postgres:すべてのコレクターにおける DB の除外をサポートします

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - filippo.io/edwards25519は、暗号プリミティブを構築するためのAPIを使用してedwards25519楕円曲線を実装するGoライブラリです。 1.1.0 以前のバージョンでは、MultiScalarMult は受信者が識別ポイントでない場合、無効な結果または未定義の動作を生成します。(*Point).MultiScalarMult がアイデンティティポイントではない初期化されたポイントで呼び出される場合、不適切な結果を返します。初期化されていないポイントでメソッドが呼び出された場合、その動作は未定義です。特に、受信側の値がゼロの場合、MultiScararMult は「等しい」を他のすべての点と比較する無効な点を返します。注意MultiScalarMult は稀に使用される高度な API です。たとえば、github.com/go-sql-driver/mysql 経由でのみ filippo.io/edwards25519 に依存するユーザーは影響を受けません。この問題はバージョン 1.1.1で修正されています。
    (CVE-2026-26958)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0777-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン への更新 3.0.5 jsc#SLE-23879。

    セキュリティの問題を修正:

    - CVE-2025-11065github.com/go-viper/mapstructure/v2ログの機密情報の漏洩bsc#1250620。
    - CVE-2025-58181golang.org/x/crypto/ssh多数のメカニズムを無効にすると、際限のないメモリ消費を引き起こす可能性がありますbsc#1253913
    - CVE-2026-22703検証は、特定の条件下で、有効な Rekor エントリを受け入れますbsc#1256496。
    - CVE-2026-22772github.com/sigstore/fulcioMetaIssuer URL 検証のバイパスにより、任意の内部サービスに SSRF を発生させる可能性がありますbsc#1256562。
    - CVE-2026-23991github.com/theupdateframework/go-tuf/v2TUF リポジトリによって返される無効な TUF メタデータ JSON によるサービス拒否bsc#1257080。
    - CVE-2026-23992github.com/theupdateframework/go-tuf/v2侵害された、または誤って構成された TUF リポジトリによる、TUF メタデータファイルへの認証されない変更bsc#1257085]
    - CVE-2026-24122期限切れの CA 証明書を維持する証明書の不適切な検証bsc#1258542。
    - CVE-2026-24137github.com/sigstore/sigstore/pkg/tufレガシー TUF クライアントが、ターゲットキャッシュパストラバーサルで任意のファイル書き込みを可能にしますbsc#1257139。
    - CVE-2026-26958filippo.io/edwards25519MultiScalarMult のレシーバーを初期化できない結果が、無効な結果を生成し、未定義の動作を引き起こす可能性がありますbsc#1258612。

    その他の更新およびバグ修正:

    * chore(deps)google.golang.org/api を 0.260.0 から 0.264.0 へ更新します#4679]
    * chore(deps)github.com/sigstore/rekor-tiles/v2 を 2.0.1 から 2.1.0 へ更新します#4670]
    * chore(deps)filippo.io/edwards25519 を 1.1.0 から 1.1.1 へ更新します#4712]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4680]
    * chore(deps)4 つの更新で 1 ディレクトリ全体で gomod グループを更新します#4702]
    * chore(deps)3 つの更新でアクショングループを更新します#4703]
    * golang ビルダーを更新し、go1.25.7 を使用するようにします#4687]
    * golangci-lint を v2.8.x に更新#4688
    * DSSE 署名適合性テストをサポートします#4685
    * chore(deps)8 つの更新で 1 ディレクトリ全体にアクショングループを更新します#4689]
    * rekor-entry-type フラグを廃止します#4691
    * cosign Triangulate を廃止します#4676
    * cosign コピーを廃止します#4681
    * Rekor v2、Fuclio 署名に対して TSA 要件を強制します#4683
    * chore(deps)github.com/theupdateframework/go-tuf/v2 を更新します#4668]
    * chore(deps)すべてのグループで golang を 1.25.5 から 1.25.6 へ更新します#4673]
    * Rekor v2 エントリで署名済みタイムスタンプを自動的に要求#4666
    * コンプライアンステストの構文問題を修正、ナイトリー更新#4664]
    * 署名構成で署名する際に TSA クライアント接続の mTLS サポートを追加します#4620
    * 修正無効な形式の tlog エントリ本文でのパニックを回避#4652
    * 証明書だけでなく、チェーンの有効性を検証します#4663
    * v2 および v3 署名に対して --new-bundle-format のある --local-image を許可します#4626
    * chore(deps)3 つの更新で 1 ディレクトリ全体の gomod グループを更新します#4662]
    * sigstore/sigstore を更新して GHSA を解決します#4660
    * バンドルペイロード本文が文字列でない場合、正常に失敗します#4648
    * 修正無効な形式の置換ペイロードでのパニックを回避#4653
    * chore(deps)github.com/sigstore/rekor を 1.4.3 から 1.5.0 へ更新します#4659]
    * 修正無効な形式の認証ペイロードでのパニックを回避#4651
    * 修正無効な形式の tlog エントリでのパニックを回避#4649
    * 適合性を最新の に更新してください
    * docs(cosign)失効セマンティックを明確化します RFC3161#4642
    * ペイロードタイプが application/vnd.in-toto+json である場合、空の述語を署名に追加#4635
    * chore(deps)github.com/sigstore/fulcio を 1.8.4 から 1.8.5 へ更新します#4637]
    * ctfe の信頼できるルートに対して生成元キーを追加します
    * v3.0.4 および v2.6.2 に変更ログの更新を追加#4625

    - バージョン 3.0.4 への更新:

    * 古いバンドル/信頼できる root に対するバンドル検証パスを修正します#4623
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4616]
    * chore(deps)gomod グループの uelang.org/go を更新します#4615
    * ダイジェスト解決をキャッシュすることで cosign ツリーのパフォーマンスを最適化します#4612
    * オフラインでの鍵付き検証に信頼できるルートを必要としません#4613
    * trusted-root および signing-config の作成に対してデフォルトサービスをサポートします#4592
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4602]
    * chore(deps)github.com/sigstore/sigstore-go を更新します#4578]
    * chore(deps)github.com/buildkite/agent/v3 を 3.114.1 から 3.115.2 へ更新します#4601]
    * chore(deps)google.golang.org/api を 0.257.0 から 0.258.0 へ更新します#4611]
    * chore(deps)k8s.io/client-go を 0.34.3 から 0.35.0 へ更新します#4604]
    * chore(deps)action/upload-artifact を 5.0.0 から 6.0.0 へ更新します#4588]
    * chore(deps)golang.org/x/oauth2 を 0.33.0 から 0.34.0 へ更新します#4586]
    * chore(deps)5 つの更新で gomod グループを更新します#4599]
    * chore(deps)github.com/open-policy-agent/opa を 1.10.1 から 1.12.1 へ更新します#4600]
    * chore(deps)golang.org/x/term を 0.37.0 から 0.38.0 へ更新します#4584]
    * chore(deps)3 つの更新でアクショングループを更新します#4587]
    * chore(deps)アクション/キャッシュを 4.3.0 から 5.0.1 へ更新します#4589]
    * chore(deps)9 つの更新で gomod グループを更新します#4577]

    - バージョン 3.0.3 への更新:

    * 45544554 を閉じます - --output* が使用される場合に警告を追加します#4556]
    * chore(deps)golangci/golangci-lint-action を 8.0.0 から 9.1.0 へ更新します#4545]
    * chore(deps)github.com/buildkite/agent/v3 を 3.111.0 から 3.113.0 へ更新します#4542]
    * chore(deps)github.com/awslabs/amazon-ecr-credential-helper/ecr-login を更新します#4543
    * chore(deps)アクション/チェックアウトを 5.0.0 から 6.0.0 へ更新します#4546]
    * chore(deps)アクショングループを 4 つの更新で更新します#4544
    * chore(deps)5 つの更新で 1 ディレクトリ全体で gomod グループを更新します#4567]
    * chore(deps)すべてのグループで golang を 1.25.4 から 1.25.5 へ更新します#4568]
    * go1.25.5 を使用するためにビルダーを更新#4566
    * サブコマンド「clean」の protobuf バンドルサポート#4539
    * staging フラグを追加し、staging TUF メタデータで初期化します
    * slap invite リンクを更新#4560
    * sign-blob を更新し、証明書付きの署名もサポートします#4547
    * sigstore ライブラリの依存関係を更新します#4532
    * サブコマンド「save」および「load」の protobuf バンドルサポート#4538
    * 署名構成で新しいバンドルに対する証明書の添付を修正します
    * ローカル証明書で OCI 検証を修正します - 旧バンドル
    * chore(deps)github.com/sigstore/fulcio を 1.7.1 から 1.8.1 へ更新します#4519]
    * chore(deps)/test/fakeoidc の golang.org/x/crypto を更新します#4535]
    * chore(deps)golang.org/x/crypto を 0.43.0 から 0.45.0 へ更新します#4536]
    * go builder を更新し、cosign を更新#4529
    * chore(deps)7 つの更新で 1 ディレクトリ全体の gomod グループを更新します#4528]
    * chore(deps)sigstore/cosign-installer を 3.10.0 から 4.0.0 へ更新します#4478]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4520]
    * chore(deps)すべてのグループで golang を 1.25.3 から 1.25.4 へ更新します#4515]
    * chore(deps)golang.org/x/oauth2 を 0.32.0 から 0.33.0 へ更新します#4518]
    * chore(deps)uelang.org/go を 0.14.2 から 0.15.0 へ更新します#4524]
    * chore(deps)github.com/open-policy-agent/opa を 1.9.0 から 1.10.1 へ更新します#4521]
    * chore(deps)action/upload-artifact を 4.6.2 から 5.0.0 へ更新します#4502]
    * chore(deps)2 つの更新で 1 つのディレクトリ全体でアクショングループを更新します#4516]
    * chore(deps)github.com/buildkite/agent/v3 を 3.110.0 から 3.111.0 へ更新します#4523]
    * chore(deps)github.com/theupdateframework/go-tuf/v2 を更新します#4522]
    * tlog-upload フラグを廃止します#4458
    * 修正「sign」cli パッケージのシグナルコンテキストを使用します。
    * オフライン検証の方向を更新#4526
    * 新しいバンドルの署名/検証の注釈を修正
    * protobuf バンドルに対するダウンロードとアタッチのサポートを追加#4477
    * --signing-algorithm フラグを追加します#3497
    * signcommon バンドルヘルパーをリファクタリングします
    * 新しいバンドルに対して --bundle を追加し、 --upload を修正します
    * 安全でないレジストリフラグを参照元に渡します
    * chore(deps)github.com/buildkite/agent/v3 を 3.108.0 から 3.109.1 へ更新します#4483]
    * tree サブコマンドに対して protobuf バンドルサポートを追加します#4491
    * 古い埋め込みインポートを削除します#4492
    * 複数のコンテナ ID のサポート
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4484]
    * chore(deps)アクショングループの chainguard-dev/actions を更新します#4480]
    * chore(deps)github.com/sigstore/rekor-tiles/v2 を更新します#4485]
    * chore(deps)golang.org/x/crypto を 0.42.0 から 0.43.0 へ更新します#4486]
    * chore(deps)gomod グループの uelang.org/go を更新します#4479
    * OSS-Fuzz ビルドツールのアップグレード#4487
    * 認証が見つからない場合のセグメンテーション違反を修正#4472
    * 新しいバンドル形式に対してオーバーライドされたリポジトリを使用します#4473
    * update go to 1.25.3#4471]
    * 「cosign initialize」から --out フラグを削除します#4462
    * chore(deps)2 つの更新でアクショングループを更新します#4460]
    * オフラインフラグを廃止します#4457
    * sign/attest* および verify* コマンドのコードの重複を排除します#4449
    * 初期化を呼び出す際のキャッシュ署名構成#4456
    * v3.0.2 用の変更ログを更新#4455
    * chore(deps)google.golang.org/api を 0.250.0 から 0.251.0へ更新
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します
    * chore(deps)3 つの更新でアクショングループを更新します
    * chore(deps)github.com/buildkite/agent/v3 を 3.107.2 から 3.108.0へ更新します
    * KMS 署名済みリリース署名に対して異なる署名ファイル名を選択します#4448
    * chore(deps)github.com/go-jose/go-jose/v4 を更新します#4451]
    * rekor-tiles バージョンパスを更新
    * v3.0.1 リリースの CL を更新します#4447
    * v3.0.0 リリースの goreleaser 構成を更新#4446
    * v3.0.0 用の変更ログを作成#4440
    * デフォルトで TUF PGI 署名構成からサービス URL をフェッチします#4428
    * v2.6.1 用の変更ログを作成#4439
    * chore(deps)google.golang.org/api を 0.249.0 から 0.250.0 へ更新します#4432]
    * chore(deps)2 つの更新で gomod グループを更新します#4429]
    * chore(deps)github.com/open-policy-agent/opa を 1.8.0 から 1.9.0 へ更新します#4433]
    * chore(deps)3 つの更新でアクショングループを更新します#4434]
    * chore(deps)github.com/go-openapi/swag を 0.24.1 から 0.25.1 へ更新します#4435]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4436]
    * chore(deps)github.com/go-openapi/runtime を 0.28.0 から 0.29.0 へ更新します#4437]
    * Cosign v3.0 に対してモジュールバージョンを v3 に更新します#4427
    * sigstore-conformance をタグ付けされたリリースに戻します#4425
    * sigstore-go を v1.1.3 へ更新#4423
    * 新しいバンドルで作業する際に cosign verify の出力を部分的に設定します#4416
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4419]
    * chore(deps)github.com/theupdateframework/go-tuf/v2 を更新します#4418]
    * chore(deps)github.com/buildkite/agent/v3 を 3.105.0 から 3.107.0 へ更新します#4420]
    * chore(deps)アクショングループの chainguard-dev/actions を更新します#4421]
    * go ビルダーを更新し、 1.25.1 と cosign を使用します#4417]
    * より正確なユーザーエージェントのために sigstore-go を更新#4413
    * chore(deps)github.com/spf13/viper を 1.20.1 から 1.21.0 へ更新します#4408]
    * chore(deps)2 つの更新でアクショングループを更新します#4407]
    * chore(deps)gitlab.com/gitlab-org/api/client-go を更新します#4410]
    * chore(deps)github.com/buildkite/agent/v3 を 3.104.0 から 3.105.0 へ更新します#4411]
    * 新しい protobuf フォーマットの使用をデフォルトにします#4318

    - バージョン 2.6.0 への更新:

    * 署名時に のみ SigningConfig またはサービス URL が必要です#4403
    * sigstore-go による署名中にターミナルスピンナーを追加します#4402
    * sigstore-go を更新し、キーによる代替ハッシュアルゴリズムをサポート#4386]
    * sign/attest の SigningConfig に対するサポートを追加します#4371
    * sigstore-go で署名する際の自己管理キーをサポート#4368]
    * sign-blob/verify-blob で SHA256 想定を削除します#4050
    * dockerfile を導入し、go バージョンを固定し、go バージョンを go.mod から分離します#4369]
    * refactor関数を抽出してリファラー認証を書き込みます#4357
    * e2e ビルドタグでインポートサイクルを中断します#4370
    * 署名構成用の適合性テストバイナリを更新#4367
    * go1.25 を使用するためにビルダーイメージを更新#4366
    * 信頼できるルートパスが指定されている場合、TUF からコンテンツをロードしません#4347
    * キーによる検証時にタイムスタンプを必須としません#4337
    * 新しいバンドル形式に対するcosign署名/検証を修正#4346
    * go1.24.6 を使用するためにビルダーを更新#4334
    * golangci-lint を v2.3.x へ更新#4333
    * cosign がバンドル形式をサポートします#4316
    * sign-blob/attest-blob に対する SigningConfig のサポートを追加し、Rekor v2 をサポートします#4319
    * クレームのチェック時にのみバンドルでサブジェクトを検証します#4320
    * 完全な in-to ステートメントを提供する機能を「attest-blob」に追加し、ダイジェストだけで検証する機能を「verify-blob-attestation」に追加します#4306]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20940-1 アドバイザリで言及されています。

    grafana の変更点:

    - CVE-2026-39821:golang.org/x/net をバージョン 0.55.0 に更新することで、検証のバイパスと権限昇格を修正します(bsc#1266600)

    - バージョン 11.6.14+security-04 に更新してください:
      Security:
      * CVE-2026-28374:Annotations API のセキュアでないダイレクトオブジェクト参照を修正します(bsc#1265290)
      * CVE-2026-28376:Grafanaライブプッシュエンドポイントの無制限メモリ割り当てを修正(bsc#1265289)
      * CVE-2026-28383:Grafanaプラグインリソースの無制限メモリ割り当てを修正(bsc#1265286)
      * CVE-2026-28380:スナップショット API の破損したアクセスコントロールを修正します(bsc#1265287)
      * CVE-2026-33376:Auth Proxy IPv6 ホワイトリストバイパスを修正します(bsc#1265285)
      * CVE-2026-28379:Grafana Live(bsc#1265288)で視聴者がトリガーした競合状態を修正
      * CVE-2026-33377:ダッシュボードエディターの権限昇格を修正(bsc#1265284)
      * CVE-2026-33378:Grafana データソースプラグインの OOM 例外を修正(bsc#1265283)
      * CVE-2026-33381:権限削除後にユーザーがサービスアカウントトークンを生成することが防止されます(bsc#1265281)
      * CVE-2026-33380:認証された攻撃者がGrafanaサーバーファイルシステムから任意のファイルを読み取る可能性があるSQL式の脆弱性を修正(bsc#1265282)

    - CVE-2026-34986:JWE 復号化でのパニックを修正します(bsc#1262950)
    - CVE-2026-41602:Apache Thrift の整数オーバーフローまたはラップアラウンドの脆弱性を修正します(bsc#1263501)

    - CVE-2026-26958:filippo.io/edwards25519 をバージョン 1.1.1 に更新します(bsc#1258595)
    - CVE-2026-21725:名前でデータソースを削除するときに UID がないのを修正します(bsc#1258873)

    - バージョン 11.6.14+security-01 に更新してください:
      Security:
      * CVE-2026-33375:MSSQL データソースプラグイン(bsc#1260881)のメモリ不足消耗によるサービス拒否を修正

    - バージョン 11.6.14 への更新:
      Security:
      * CVE-2026-27876:連鎖した SQL 式を介したリモートの任意のコード実行を修正(bsc#1261025)
      * CVE-2026-27877:パブリックダッシュボードによるデータソースパスワードの情報漏洩を修正します(bsc#1261026)
      * CVE-2026-28375:testdata データソースを介したサービス拒否を修正します(bsc#1261029)
      * CVE-2026-27879:リサンプルクエリによるサービス拒否を修正します(bsc#1261027)
      * CVE-2026-33186:HTTP/2 :p ath pseudo-header(bsc#1260263)の不適切な検証による承認バイパスを修正します
      * CVE-2026-21724:保護された Webhook URL の改ざんを可能にする承認バイパスを修正します(bsc#1260878)

    - バージョン 11.6.13 への更新:
      拡張機能：
      * パブリックダッシュボードサービスを HTTP サーバーにワイヤーアリングします

    - バージョン 11.6.12 への更新:
      拡張機能：
      * 認証リダイレクトロジックを更新します バグ修正:
      * 変数参照での単一パネルレンダリングを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2438-1 advisory.

    This update for alloy fixes the following issues

    Security issues:

    - CVE-2026-4427: github.com/jackc/pgproto3/v2: improper validation of field length allows a malicious     PostgreSQL server       to crash a client application via a DataRow message (bsc#1259919).
    - CVE-2026-25934: github.com/go-git/go-git/v5: improper verification of data integrity values for .pack     and .idx files       can lead to the consumption of corrupted files (bsc#1258099).
    - CVE-2026-26958: filippo.io/edwards25519: failure to initialize receiver in MultiScalarMult can produce     invalid results       and lead to undefined behavior (bsc#1258609).
    - CVE-2026-33186: google.golang.org/grpc: authorization bypass due to improper validation of the HTTP/2:
    path pseudo-       header (bsc#1260317).
    - CVE-2026-34986: github.com/go-jose/go-jose/v4: crafted JWE input with a missing encrypted key can lead     to a denial of       service (bsc#1262955).
    - CVE-2026-41602: github.com/apache/thrift: TFramedTransport frame size headers can lead to a uint32     integer overflow       (bsc#1263530).

    Non security issue:

    - Use systemd tmpfiles.d to create /var/lib/alloy hierarchy (jsc#PED-14815).
    - Update to version 1.16.1
     * Bug Fixes      logging: Fix startup deadlock when components log before      logging config is evaluated      Update to Beyla 3.9.8      Migrate from Docker to Moby
    - Use latest openSUSE Tumbleweed image for building web UI assets
    - Install nvm to set node version specified upstream
    - update to 1.16.0:
     * Features
     - Add clustering for loki.source.kubernetes_events (#6027)      (3dbf587) (@petewall)
     - Add otelcol.auth.google client auth provider (#5526)      (da99a66) (@dashpole, @clayton-cornell)
     - beyla.ebpf: Bump to v3.7.0 (#5966) (5126c2e) (@marctc)
     - database_observability: Add support for GCP Cloud SQL      metadata (#5875) (5d23245) (@cristiangreco, @clayton-cornell)
     - database_observability: Make targets optional (#5924)      (54664b2) (@matthewnolf)
     - database_observability: Update default excluded schemas and      users (#6080) (b386fff) (@cristiangreco)
     - faro.receiver: Add sourcemap fetching from remote locations      (#4614) (b6cb5da) (@Oxel40)
     - helm: Add support for global.image.pullPolicy (#6069)      (2e2ce72) (@petewall)
     - helm: Allow configuring image pull policy for config reloader      (#5923) (991539b) (@kalleep)
     - loki.secretfilter: Add label_timed_out option to mark      timed-out log lines (#5898) (2ad8834) (@kleimkuhler)
     - loki.secretfilter: Add secrets_redacted_by_category_total      metric combining rule and origin (#5855) (053a2f7)      (@kleimkuhler)
     - loki.secretfilter: Change secretfilter to use go-re2 regex      library instead of stdlib (#5909) (c16a660) (@mikefat)
     - loki.secretfilter: Remove redundant      secrets_redacted_by_rule_total and secrets_redacted_by_origin      metrics (#5970) (b16decb) (@kleimkuhler)
     - Oracle exporter can scrape more than one DB (#6008) (6fbad38)      (@ptodev)
     - prometheus.exporter.cloudwatch: Upgrade YACE and drop      aws-sdk-go v1 support (#5936) (f1c036d) (@x1unix)
     - prometheus.exporter.mysql: Update to mysqld_exporter 0.19.0      (#5836) (4f49b57) (@cristiangreco)
     - prometheus.remote_write: Sync WAL with upstream Prometheus      (#5907) (e74a91b) (@x1unix)
     - pyroscope: Add support for extra async-profiler CLI arguments      (#5472) (9251e33) (@ivanape)
     - pyroscope: Replace Parca gRPC debuginfo upload with Pyroscope      Connect API (#5891) (e7ea34a) (@korniltsev-grafanista)
     - pyroscope: Update debuginfo client for HTTP/1.1 upload API      (#6037) (879d8e5) (@korniltsev-grafanista)
     - Change service stop command from 'sc' to 'net' (#5906)      (450973d) (@mateuszdrab)
     - database_observability.mysql: Refactor explain plan loop      batch size (#5894) (f0fcd6b) (@cristiangreco)
     - database_observability.postgres: Cleanup embedded exporter      collectors on reconnection (#6079) (f30d9ae) (@cristiangreco)
     - database_observability.postgres: Fix EXPLAIN param count when      placeholders repeat (#6082) (b612b81) (@rgeyer)
     - database_observability: Drop schema_detection from logs      (#6076) (b0105cb) (@cristiangreco)
     - database_observability: Ensure connection_info_monitor      goroutine exits on Stop (#5874) (1e3334b) (@cristiangreco)
     - deps: Update module github.com/aws/aws-sdk-go-v2/service/s3      to v1.97.3 [SECURITY] (#6004) (38f4346)
     - deps: Update module github.com/go-git/go-git/v5 to v5.17.1      [SECURITY] (#5934) (a5154af)
     - deps: Update module github.com/go-git/go-git/v5 to v5.18.0      [SECURITY] (#6090) (0e59d64)
     - deps: Update module github.com/nwaples/rardecode/v2 to v2.2.0      [SECURITY] (b44d51a) (@jharvey10)
     - deps: Update module      go.opentelemetry.io/otel/exporters/otlp/otlpmetric/otlpmetrichttp      to v1.43.0 [SECURITY] (#6016) (d92c5c0)      go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp      to v1.43.0 [SECURITY] (#6017) (e655bbc)
     - deps: Update module go.opentelemetry.io/otel/sdk to v1.43.0      [SECURITY] (#6018) (94006e8)
     - deps: Update some minor go dep versions (#5896) (4ddd0ed)      (@jharvey10)
     - go: Update alloy builder image to Go 1.25.9 (#6012) (d2ae8b8)      (@x1unix)
     - go: Upgrade to Go 1.25.9 (#6019) (d777ed1) (@x1unix,      @kalleep)
     - Helm: RBAC template handles empty rule arrays (#4860)      (c9430e9) (@naptalie, @dehaansa, @kalleep)
     - loki.process: Eliminate per-stream goroutines in multiline      stage (#6036) (c089e2e) (@kgeckhart)
     - loki.process: Prevent stage.structured_metadata from adding      the same metadata several times (#5965) (0ec8a26) (@kalleep,      @thampiotr)
     - loki.process: Wrap template in a custom type and move      validation to syntax.Validator (#5910) (700dd7d) (@kalleep)
     - prometheus.exporter.postgres: Close DB connections on update      (#6021) (8da97cf) (@kalleep)
     - prometheus.scrape: Update scrape_native_histograms to be      updated at runtime (#6087) (18b205c) (@kalleep)
     - pyroscope.ebpf: Fix deadlock on LRU eviction in irsymcache      (#5911) (03ca563) (@luweglarz)
     - pyroscope.ebpf: Move Pyroscope ebpf metrics registration      after component error handling (#5540) (a3c57c0) (@crbednarz,      @marcsanmi)
     - pyroscope: Set user agent on debuginfo connect-go client      (#6022) (38ad1ef) (@korniltsev-grafanista)
     - ui: Large arguments are downloaded as files instead of      rendered (#5268) (26c67b3) (@ptodev)
     - Update go-m1cpu v0.1.7 -> v0.2.1 to fix M5 chip crash (#6034)      (7fa0cbc) (@ymotongpoo)
     - windows-installer: Increase service restart on failure delays      (#5969) (add15b1) (@rknightion)
    - add script to package webassets inside a podman container, to not      endanger or pollute the host system with npm
    - update to 1.15.1:
     goroutine exits on Stop
     * CVE-2026-34986: Fix panic in JWE decryption (bsc#1262955)
    - update to 1.15.0:
     * BREAKING CHANGES
     - otelcol: Upgrade to OTel Collector v0.147.0
     - Renamed undocumented metrics that was previously prefixed      with <component_id><metric_name> to      loki_source_awsfirehose<metric_name>
     * Security      CVE-2026-26958: Update filippo.io/edwards25519 to version 1.1.1      (bsc#1258609).
     - alloy-mixin: Add filters, groupBy, and multi-select dashboard      variables
     - beyla.ebpf: Add support for Prometheus native histograms
     - beyla.ebpf: Bump Beyla to v3.6
     - converters: Support converting Promtail limits_config
     - database_observability.mysql: Add filtering of query samples      and wait events by minimum duration
     - database_observability.mysql: Embed prometheus exporter      within db-o11y component
     - database_observability.postgres: Add configurable limit to      pg_stat_statements query
     - database_observability.postgres: Embed prometheus exporter
     - database_observability: Promote components to stable
     - Expose Functionality to Handle syslogs with Empty MSG Field
     - loki.process: Support structured metadata as source type of      stage.labels for loki.process
     - loki.secretfilter: Add sampling for secretfilter entries
     - loki.source.gcplog: Add alloy config for MaxOutstandingBytes      and MaxOutstandingMessages
     - loki.write: Add loki pipeline latency metric
     - mixin: Update loki dashboard
     - otelcol.receiver.datadog: Expose intake proxy and      trace_id_cache_size settings
     - prometheus.exporter.cloudwatch: Use aws-sdk-go-v2 by default
     - pyroscope.ebpf: Add comm, pid labels and kernel frame options
    - update to 1.14.1:
     - Correctly handle the deprecated topic field in      otelcol.receiver.kafka configuration
     - loki.process: Protect against json that does not look like      docker json format
     - loki.source.file: Keep positions for compressed files when      reading is finished
     - prometheus.scrape: Update arguments and targets even if      scrape_native_histograms and extra_metrics are updated
    - update to 1.14.0:
     - loki.secretfilter: Some config options are removed entirely:
     partial_mask (replaced with redact_percent), allowlist (now      controlled with custom gitleaks config), enable_entropy,      include_generic, types (now controlled with custom gitleaks      config).
     - otelcol.receiver.prometheus: otelcol.receiver.prometheus no      longer sets start times of OTLP metrics.
     * Security:
    - update to 1.13.2:
     - Expose missing otelcol.processor.tail_sampling options
     - mixin: Add zipped dashboards as a release artifact
     - profiler: Backport Go 1.26 gopclntab textStart fix
     - prometheus.exporter.postgres: Update version of the exporter      fork to fix pg_settings
     - pyroscope.ebpf: Backport dotnet nibble map fix
    - update to 1.13.1:
     - timeout before starting new ones
    - update to 1.13.0:
     - otelcol: Upgrade to OTel Collector v0.142.0
     - otelcol.receiver.kafka: The global topic attribute has been      deleted; use the topics attributes inside the logs, metrics,      and traces blocks instead.
     - otelcol.exporter > sending_queue > batch > min_size changed      from 8192 to 2000 and max_size changed from 0 to 3000
     - Add a virtual_node_peer_attributes and      virtual_node_extra_label arguments to      otelcol.connector.servicegraph
     - Add an otelcol.processor.metric_start_time component
     - Add job level period, length, and add_cloudwatch_timestamp      options and labels_snake_case to CW exporter
     - Add missing configuration parameter      deployment_name_from_replicaset to k8sattributes processor
     - Add parcas symbols upload to pyroscope.ebpf
     - Add sharding for loki.write
     - Add unexposed otel engine and extension to codebase and      change build structure
     - beyla.ebpf: Add meta_cache_address to      beyla.ebpf.attributes.kubernetes
     - beyla.ebpf: Upgrade Beyla to v2.8.5
     - Change the defaults for sending_queue > batch block inside      otelcol.exporter components
     - cluster: Support DNS discovery mode prefixes in
     --cluster.join-addresses flag
     - converter: Update promtail converter to use file_match block      for loki.source.file
     - database_observability: Add health check collector for      postgres component
     - database_observability: Expose exclude_schemas and      exclude_databases settings
     - database_observability: Support Azure cloud provider config      data
     - database_observability.mysql: Support excluding schemas in      all collectors
     - database_observability.postgres: Support excluding DBs in all      collectors

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - filippo.io/edwards25519 is a Go library implementing the edwards25519 elliptic curve with APIs for     building cryptographic primitives. In versions 1.1.0 and earlier, MultiScalarMult produces invalid results     or undefined behavior if the receiver is not the identity point. If (*Point).MultiScalarMult is called on     an initialized point that is not the identity point, it returns an incorrect result. If the method is     called on an uninitialized point, the behavior is undefined. In particular, if the receiver is the zero     value, MultiScalarMult returns an invalid point that compares Equal to every other point. Note that     MultiScalarMult is a rarely used, advanced API. For example, users who depend on filippo.io/edwards25519     only through github.com/go-sql-driver/mysql are not affected. This issue has been fixed in version 1.1.1.
    (CVE-2026-26958)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:0777-1 advisory.

    Update to version 3.0.5 (jsc#SLE-23879).

    Security issues fixed:

    - CVE-2025-11065: github.com/go-viper/mapstructure/v2: sensitive Information leak in logs (bsc#1250620).
    - CVE-2025-58181: golang.org/x/crypto/ssh: invalidated number of mechanisms can cause unbounded memory     consumption       (bsc#1253913).
    - CVE-2026-22703: Verification accepts any valid Rekor entry under certain conditions (bsc#1256496).
    - CVE-2026-22772: github.com/sigstore/fulcio: bypass MetaIssuer URL validation bypass can trigger SSRF to     arbitrary       internal services (bsc#1256562).
    - CVE-2026-23991: github.com/theupdateframework/go-tuf/v2: denial of service due to invalid TUF metadata     JSON returned       by TUF repository (bsc#1257080).
    - CVE-2026-23992: github.com/theupdateframework/go-tuf/v2: unauthorized modification to TUF metadata files     due to a       compromised or misconfigured TUF repository (bsc#1257085).
    - CVE-2026-24122: improper validation of certificates that outlive expired CA certificates (bsc#1258542).
    - CVE-2026-24137: github.com/sigstore/sigstore/pkg/tuf: legacy TUF client allows for arbitrary file writes     with target       cache path traversal (bsc#1257139).
    - CVE-2026-26958: filippo.io/edwards25519: failure to initialize receiver in MultiScalarMult can produce     invalid results       and lead to undefined behavior (bsc#1258612).

    Other updates and bugfixes:

    * chore(deps): bump google.golang.org/api from 0.260.0 to 0.264.0 (#4679)
    * chore(deps): bump github.com/sigstore/rekor-tiles/v2 from 2.0.1 to 2.1.0 (#4670)
    * chore(deps): bump filippo.io/edwards25519 from 1.1.0 to 1.1.1 (#4712)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4680)
    * chore(deps): bump the gomod group across 1 directory with 4 updates (#4702)
    * chore(deps): bump the actions group with 3 updates (#4703)
    * update golang builder to use go1.25.7 (#4687)
    * update golangci-lint to v2.8.x (#4688)
    * Support DSSE signing conformance test (#4685)
    * chore(deps): bump the actions group across 1 directory with 8 updates (#4689)
    * Deprecate rekor-entry-type flag (#4691)
    * Deprecate cosign triangulate (#4676)
    * Deprecate cosign copy (#4681)
    * Enforce TSA requirement for Rekor v2, Fuclio signing (#4683)
    * chore(deps): bump github.com/theupdateframework/go-tuf/v2 (#4668)
    * chore(deps): bump golang from 1.25.5 to 1.25.6 in the all group (#4673)
    * Automatically require signed timestamp with Rekor v2 entries (#4666)
    * Fix syntax issue in conformance test, update nightly (#4664)
    * Add mTLS support for TSA client connections when signing with a signing config (#4620)
    * fix: avoid panic on malformed tlog entry body (#4652)
    * Verify validity of chain rather than just certificate (#4663)
    * Allow --local-image with --new-bundle-format for v2 and v3 signatures (#4626)
    * chore(deps): bump the gomod group across 1 directory with 3 updates (#4662)
    * Bump sigstore/sigstore to resolve GHSA (#4660)
    * Gracefully fail if bundle payload body is not a string (#4648)
    * fix: avoid panic on malformed replace payload (#4653)
    * chore(deps): bump github.com/sigstore/rekor from 1.4.3 to 1.5.0 (#4659)
    * fix: avoid panic on malformed attestation payload (#4651)
    * fix: avoid panic on malformed tlog entries (#4649)
    * Update conformance to latest
    * docs(cosign): clarify RFC3161 revocation semantics (#4642)
    * Add empty predicate to cosign sign when payload type is application/vnd.in-toto+json (#4635)
    * chore(deps): bump github.com/sigstore/fulcio from 1.8.4 to 1.8.5 (#4637)
    * Add origin key for ctfe trusted root
    * Add changelog updates for v3.0.4 and v2.6.2 (#4625)

    - Update to version 3.0.4:

    * Fix bundle verify path for old bundle/trusted root (#4623)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4616)
    * chore(deps): bump cuelang.org/go in the gomod group (#4615)
    * Optimize cosign tree performance by caching digest resolution (#4612)
    * Don't require a trusted root to verify offline with a key (#4613)
    * Support default services for trusted-root and signing-config creation (#4592)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4602)
    * chore(deps): bump github.com/sigstore/sigstore-go (#4578)
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.114.1 to 3.115.2 (#4601)
    * chore(deps): bump google.golang.org/api from 0.257.0 to 0.258.0 (#4611)
    * chore(deps): bump k8s.io/client-go from 0.34.3 to 0.35.0 (#4604)
    * chore(deps): bump actions/upload-artifact from 5.0.0 to 6.0.0 (#4588)
    * chore(deps): bump golang.org/x/oauth2 from 0.33.0 to 0.34.0 (#4586)
    * chore(deps): bump the gomod group with 5 updates (#4599)
    * chore(deps): bump github.com/open-policy-agent/opa from 1.10.1 to 1.12.1 (#4600)
    * chore(deps): bump golang.org/x/term from 0.37.0 to 0.38.0 (#4584)
    * chore(deps): bump the actions group with 3 updates (#4587)
    * chore(deps): bump actions/cache from 4.3.0 to 5.0.1 (#4589)
    * chore(deps): bump the gomod group with 9 updates (#4577)

    - Update to version 3.0.3:

    * 4554: Closes 4554 - Add warning when --output* is used (#4556)
    * chore(deps): bump golangci/golangci-lint-action from 8.0.0 to 9.1.0 (#4545)
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.111.0 to 3.113.0 (#4542)
    * chore(deps): bump github.com/awslabs/amazon-ecr-credential-helper/ecr-login (#4543)
    * chore(deps): bump actions/checkout from 5.0.0 to 6.0.0 (#4546)
    * chore(deps): bump the actions group with 4 updates (#4544)
    * chore(deps): bump the gomod group across 1 directory with 5 updates (#4567)
    * chore(deps): bump golang from 1.25.4 to 1.25.5 in the all group (#4568)
    * update builder to use go1.25.5 (#4566)
    * Protobuf bundle support for subcommand `clean` (#4539)
    * Add staging flag to initialize with staging TUF metadata
    * update slack invite link (#4560)
    * Updating sign-blob to also support signing with a certificate (#4547)
    * Bump sigstore library dependencies (#4532)
    * Protobuf bundle support for subcommands `save` and `load` (#4538)
    * Fix cert attachment for new bundle with signing config
    * Fix OCI verification with local cert - old bundle
    * chore(deps): bump github.com/sigstore/fulcio from 1.7.1 to 1.8.1 (#4519)
    * chore(deps): bump golang.org/x/crypto in /test/fakeoidc (#4535)
    * chore(deps): bump golang.org/x/crypto from 0.43.0 to 0.45.0 (#4536)
    * update go builder and cosign (#4529)
    * chore(deps): bump the gomod group across 1 directory with 7 updates (#4528)
    * chore(deps): bump sigstore/cosign-installer from 3.10.0 to 4.0.0 (#4478)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4520)
    * chore(deps): bump golang from 1.25.3 to 1.25.4 in the all group (#4515)
    * chore(deps): bump golang.org/x/oauth2 from 0.32.0 to 0.33.0 (#4518)
    * chore(deps): bump cuelang.org/go from 0.14.2 to 0.15.0 (#4524)
    * chore(deps): bump github.com/open-policy-agent/opa from 1.9.0 to 1.10.1 (#4521)
    * chore(deps): bump actions/upload-artifact from 4.6.2 to 5.0.0 (#4502)
    * chore(deps): bump the actions group across 1 directory with 2 updates (#4516)
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.110.0 to 3.111.0 (#4523)
    * chore(deps): bump github.com/theupdateframework/go-tuf/v2 (#4522)
    * Deprecate tlog-upload flag (#4458)
    * fix: Use signal context for `sign` cli package.
    * update offline verification directions (#4526)
    * Fix signing/verifying annotations for new bundle
    * Add support to download and attach for protobuf bundles (#4477)
    * Add --signing-algorithm flag (#3497)
    * Refactor signcommon bundle helpers
    * Add --bundle and fix --upload for new bundle
    * Pass insecure registry flags through to referrers
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.108.0 to 3.109.1 (#4483)
    * Add protobuf bundle support for tree subcommand (#4491)
    * Remove stale embed import (#4492)
    * Support multiple container identities
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4484)
    * chore(deps): bump chainguard-dev/actions in the actions group (#4480)
    * chore(deps): bump github.com/sigstore/rekor-tiles/v2 (#4485)
    * chore(deps): bump golang.org/x/crypto from 0.42.0 to 0.43.0 (#4486)
    * chore(deps): bump cuelang.org/go in the gomod group (#4479)
    * upgrade OSS-Fuzz build tooling (#4487)
    * Fix segfault when no attestations are found (#4472)
    * Use overridden repository for new bundle format (#4473)
    * update go to 1.25.3 (#4471)
    * Remove --out flag from `cosign initialize` (#4462)
    * chore(deps): bump the actions group with 2 updates (#4460)
    * Deprecate offline flag (#4457)
    * Deduplicate code in sign/attest* and verify* commands (#4449)
    * Cache signing config when calling initialize (#4456)
    * Update changelog for v3.0.2 (#4455)
    * chore(deps): bump google.golang.org/api from 0.250.0 to 0.251.0
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go
    * chore(deps): bump the actions group with 3 updates
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.107.2 to 3.108.0
    * choose different signature filename for KMS-signed release signatures (#4448)
    * chore(deps): bump github.com/go-jose/go-jose/v4 (#4451)
    * Update rekor-tiles version path
    * update CL for v3.0.1 release (#4447)
    * update goreleaser config for v3.0.0 release (#4446)
    * Create changelog for v3.0.0 (#4440)
    * Fetch service URLs from the TUF PGI signing config by default (#4428)
    * Create changelog for v2.6.1 (#4439)
    * chore(deps): bump google.golang.org/api from 0.249.0 to 0.250.0 (#4432)
    * chore(deps): bump the gomod group with 2 updates (#4429)
    * chore(deps): bump github.com/open-policy-agent/opa from 1.8.0 to 1.9.0 (#4433)
    * chore(deps): bump the actions group with 3 updates (#4434)
    * chore(deps): bump github.com/go-openapi/swag from 0.24.1 to 0.25.1 (#4435)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4436)
    * chore(deps): bump github.com/go-openapi/runtime from 0.28.0 to 0.29.0 (#4437)
    * Bump module version to v3 for Cosign v3.0 (#4427)
    * Move sigstore-conformance back to tagged release (#4425)
    * Bump sigstore-go to v1.1.3 (#4423)
    * Partially populate the output of cosign verify when working with new bundles (#4416)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4419)
    * chore(deps): bump github.com/theupdateframework/go-tuf/v2 (#4418)
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.105.0 to 3.107.0 (#4420)
    * chore(deps): bump chainguard-dev/actions in the actions group (#4421)
    * bump go builder to use 1.25.1 and cosign (#4417)
    * Bump sigstore-go for more precise user agents (#4413)
    * chore(deps): bump github.com/spf13/viper from 1.20.1 to 1.21.0 (#4408)
    * chore(deps): bump the actions group with 2 updates (#4407)
    * chore(deps): bump gitlab.com/gitlab-org/api/client-go (#4410)
    * chore(deps): bump github.com/buildkite/agent/v3 from 3.104.0 to 3.105.0 (#4411)
    * Default to using the new protobuf format (#4318)

    - Update to version 2.6.0:

    * Require exclusively a SigningConfig or service URLs when signing (#4403)
    * Add a terminal spinner while signing with sigstore-go (#4402)
    * Bump sigstore-go, support alternative hash algorithms with keys (#4386)
    * Add support for SigningConfig in sign/attest (#4371)
    * Support self-managed keys when signing with sigstore-go (#4368)
    * Remove SHA256 assumption in sign-blob/verify-blob (#4050)
    * introduce dockerfile to pin the go version to decouple go version from go.mod (#4369)
    * refactor: extract function to write referrer attestations (#4357)
    * Break import cycle with e2e build tag (#4370)
    * Update conformance test binary for signing config (#4367)
    * update builder image to use go1.25 (#4366)
    * Don't load content from TUF if trusted root path is specified (#4347)
    * Don't require timestamps when verifying with a key (#4337)
    * Fixes to cosign sign / verify for the new bundle format (#4346)
    * update builder to use go1.24.6 (#4334)
    * bump golangci-lint to v2.3.x (#4333)
    * Have cosign sign support bundle format (#4316)
    * Add support for SigningConfig for sign-blob/attest-blob, support Rekor v2 (#4319)
    * Verify subject with bundle only when checking claims (#4320)
    * Add to `attest-blob` the ability to supply a complete in-toto statement, and add to `verify-blob-     attestation` the       ability to verify with just a digest (#4306)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20940-1 advisory.

    Changes in grafana:

    - CVE-2026-39821: Fix validation bypass and privilege escalation by       updating golang.org/x/net to version 0.55.0 (bsc#1266600)

    - Update to version 11.6.14+security-04:
      Security:
      * CVE-2026-28374: Fix insecure direct object reference in         Annotations API (bsc#1265290)
      * CVE-2026-28376: Fix unbounded memory allocation in Grafana Live         push endpoint (bsc#1265289)
      * CVE-2026-28383: Fix unbounded memory allocation in Grafana         plugin resources (bsc#1265286)
      * CVE-2026-28380: Fix broken access control in Snapshot API         (bsc#1265287)
      * CVE-2026-33376: Fix Auth Proxy IPv6 whitelist bypass         (bsc#1265285)
      * CVE-2026-28379: Fix viewer-triggered race condition in         Grafana Live (bsc#1265288)
      * CVE-2026-33377: Fix dashboard Editor Privilege Escalation         (bsc#1265284)
      * CVE-2026-33378: Fix OOM exception in Grafana Data Source Plugin         (bsc#1265283)
      * CVE-2026-33381: Prevent users from generating Service Account         tokens after permissions removal (bsc#1265281)
      * CVE-2026-33380: Fix vulnerability in SQL Expressions allowing         an authenticated attacker to read arbitrary files from the         Grafana servers filesystem (bsc#1265282)

    - CVE-2026-34986: Fix panic in JWE decryption (bsc#1262950)
    - CVE-2026-41602: Fix Integer Overflow or Wraparound vulnerability       in Apache Thrift (bsc#1263501)

    - CVE-2026-26958: Bump filippo.io/edwards25519 to version 1.1.1       (bsc#1258595)
    - CVE-2026-21725: Fix missing UID when deleting datasource by name       (bsc#1258873)

    - Update to version 11.6.14+security-01:
      Security:
      * CVE-2026-33375: Fix denial of Service via out-of-memory         exhaustion in MSSQL data source plugin (bsc#1260881)

    - Update to version 11.6.14:
      Security:
      * CVE-2026-27876: Fix remote arbitrary code execution via chained         SQL Expressions (bsc#1261025)
      * CVE-2026-27877: Fix information disclosure of data-source         passwords via public dashboards (bsc#1261026)
      * CVE-2026-28375: Fix denial of service via testdata data-source         (bsc#1261029)
      * CVE-2026-27879: Fix denial of service via resample query         (bsc#1261027)
      * CVE-2026-33186: Fix authorization bypass due to improper         validation of the HTTP/2 :path pseudo-header (bsc#1260263)
      * CVE-2026-21724: Fix authorization bypass allows modification of         protected webhook URLs (bsc#1260878)

    - Update to version 11.6.13:
      Enhancement:
      * Wire the public dashboard service to the HTTP server

    - Update to version 11.6.12:
      Enhancement:
      * Update authentication redirect logic       Bug fix:
      * Fix single panel render with variable references

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
437845	SCA: security update for filippo.io/edwards25519 (GHSA-fw7p-63qq-7hpr)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/19	2026/7/2	medium
437845	SCA: security update for filippo.io/edwards25519 (GHSA-fw7p-63qq-7hpr)	Tenable Cloud Security	SCA Checks	2026/2/19	2026/7/2	medium
299681	Linux Distros 未修補的弱點：CVE-2026-26958	Nessus	Misc.	2026/2/20	2026/7/16	medium
299681	Linux Distros 未修补的漏洞：CVE-2026-26958	Nessus	Misc.	2026/2/20	2026/7/16	medium
321596	SUSE SLED15 / SLES15 セキュリティ更新:alloy(SUSE-SU-2026:2438-1)	Nessus	SuSE Local Security Checks	2026/6/20	2026/6/20	medium
299681	Linux Distros のパッチ未適用の脆弱性: CVE-2026-26958	Nessus	Misc.	2026/2/20	2026/7/16	medium
301024	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新cosignSUSE-SU-2026:0777-1	Nessus	SuSE Local Security Checks	2026/3/6	2026/3/6	medium
321072	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:20940-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/17	medium
321596	SUSE SLED15 / SLES15 Security Update : alloy (SUSE-SU-2026:2438-1)	Nessus	SuSE Local Security Checks	2026/6/20	2026/6/20	medium
299681	Linux Distros Unpatched Vulnerability : CVE-2026-26958	Nessus	Misc.	2026/2/20	2026/7/16	medium
301024	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : cosign (SUSE-SU-2026:0777-1)	Nessus	SuSE Local Security Checks	2026/3/6	2026/3/6	medium
321072	openSUSE 16 Security Update : grafana (openSUSE-SU-2026:20940-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/17	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium