There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Distribution is a toolkit to pack, ship, store, and deliver container content. Prior to 3.1.0, in pull-
    through cache mode, distribution discovers token auth endpoints by parsing WWW-Authenticate challenges
    returned by the configured upstream registry. The realm URL from a bearer challenge is used without
    validating that it matches the upstream registry host. As a result, an attacker-controlled upstream (or an
    attacker with MitM position to the upstream) can cause distribution to send the configured upstream
    credentials via basic auth to an attacker-controlled realm URL. This vulnerability is fixed in 3.1.0.
    (CVE-2026-33540)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Distribution 是一種用於封裝、隨附、儲存和提供容器內容的工具組。在 3.1.0之前的版本中在引入快取模式中發行版本會藉由剖析已設定之上游登錄檔所傳回的 WWW-Authenticate 測驗來發現 token 驗證端點。使用不記名測驗的領域 URL 時未驗證其是否符合上游登錄檔主機。因此受攻擊者控制的上游 (或上游具有 MitM 位置的攻擊者) 可造成發布版本透過基本驗證將已設定的上游認證傳送至攻擊者控制的領域 URL。此弱點已在 3.1.0 中修正。
    (CVE-2026-33540)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Distribution 是一个用于打包、发货、存储和交付容器内容的工具包。在 3.1.0之前版本中在拉取缓存模式下发行版本通过解析由已配置的上游注册表返回的 WWW-Authenticate 质询来发现标记认证端点。使用了来自 承载质询的领域 URL 时未验证其是否与上游注册主机匹配。因此受攻击者控制的上游或对上游具有 MitM 位置的攻击者可以导致分发通过基本认证将配置的上游凭据发送到攻击者控制的领域 URL。此漏洞已在 3.1.0 中修复。
    (CVE-2026-33540)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 45 ホストには、FEDORA-2026-d7d99f08ff のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    docker-distribution-3.1.1-1.fc45の自動更新。

    ##### **変更ログ**

    ```
    * 2026年5月1日(金) ブラッドリー・G・スミス <bradley.g.smith@gmail.com> - 3.1.1-1
    - リリースv3.1.1へのアップデート
    - 解決: rhbz#2455529
    - CVE-2026-41888を修正します
    - 上流の修正とアップデート
    - aarch64での一時的なannocheckスキップテストによるブロークンブランチ保護テスト
    * 2026年4月6日(月) ブラッドリー・G・スミス <bradley.g.smith@gmail.com> - 3.1.0-1
    - リリースv3.1.0へのアップデート
    - 解決: rhbz#2455529、rhbz#2455654
    - CVE-2026-35172を解決します
    - CVE-2026-33540を解決します
    - Upstream 修正
    * 2026年2月8日(日) ブラッドリー・G・スミス <bradley.g.smith@gmail.com> - 3.0.0-5
    - 重複回線の削除
    * 2026年2月2日(月) マックスウェル・G <maxwell@gtmx.me> - 3.0.0-4
    - の再構築 https://fedoraproject.org/wiki/Changes/golang1.26

    ```

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4212-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    修正されたセキュリティ問題:

    - CVE-2026-33186:google.golang.org/grpc:HTTP/2 :p ath pseudo-header(bsc#1260283)の不適切な検証による承認バイパス。
    - CVE-2026-33540:認証レルム URL の不適切な検証による情報漏洩(bsc#1261793)。
    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265788)。
    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262951)。
    - CVE-2026-35172:コンテンツ削除後の古い参照による情報漏洩(bsc#1262096)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266629)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、 CVE-2026-39832、CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、 CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:golang.org/x/crypto/ssh:複数の問題(bsc#1268884)。
    - CVE-2026-41888:タグの削除により storage.delete.enabled 構成がバイパスされます(bsc#1265429)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1272132)。

    配布に関する変更:

    3.1.1 に更新:

     * PurgeUploads Walk コールバックでファイルのベース名を境界チェックします
     * S3 ストレージドライバーに S3 Express One Zone サポートを追加します
     * プロキシモードにおけるタグリストエンドポイントを修正します
     * 400 を返す代わりに、プロキシモードでサイズが大きすぎる「n」クエリパラメーターをクランプします
     * 変更の完全なリストについては、下記の変更ログ全体を参照してください。
     * internal/client/auth/challenge:クリーンアップおよびマイナーリファクタリング
     * build(deps):1 ディレクトリにまたがる go_modules グループで、go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploghttp 0.18.0 から 0.19.0 にバージョンを上げます
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、 1.42.0 から 1.43.0 に go.opentelemetry.io/otel/exporters/otlp/otl ptrace/otlptracehttp をバージョンアップします
     * build(deps):github/codeql-action を 4.34.1 から 4.35.1
     * chore(build):go バージョンを最新に更新します
     * リファクタリング:スライスを使用します。コードを単純化するための後方
     * fix(proxy):プロキシモードでのタグリストエンドポイントを修正します
     * deploying.md の docker-compose 構造を更新します
     * build(deps):アクション/アップロードアーティファクトを 7.0.0 から 7.0.1
     * build(deps):actions/upload-pages-artifact を 4.0.0 から 5.0.0
     * build(deps):docker/login-action を 4.0.0 から へ更新します 4.1.0
     * build(deps):docker/bake-action を 7.0.0 から 7.1.0
     * 修正(プロキシ):代わりにオーバーサイズの n クエリパラメーターをクランプします
     * feat(s3):Express Zone One サポートを S3 ドライバーに追加
     * fix(storage):PurgeUploads Walk コールバックでファイルの basename を境界チェックします
     * chore(release):v3.1.1 リリースの準備
     * タグページネーションのサポートを追加します
     * Azure ストレージプロバイダーのデフォルトの認証情報を修正
     * go1.23 および go1.24 のサポートをドロップし、go1.25 に更新します
     * docs:新しいイメージタグ v3 を参照するために更新します
     * Azure ストレージプロバイダーのdefault_credentialsを修正します
     * chore:関数コメントを関数名と一致させます
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、golang.org/x/net を 0.37.0 から 0.38.0 に更新します
     * 修正:Ed25519 公開鍵の JWK 拇印を実装します
     * 修正:validation.indexes 構成ドキュメントからのコードブロックに注釈をつける
     * feat:redis 構成を抽出して構造体を分離します
     * 修正:追加しない書き込みに一時ファイルを使用することで #4478 される問題を解決します
     * build(deps):ossf/scorecard-action を 2.4.1 から へ更新します 2.4.2
     * docs:「OTEL_TRACES_EXPORTER」に関する注記を追加
     * 修正:デフォルトで OTEL トレースを無効に設定
     * docs の OTEL トレースリンクに対するマークダウン構文を修正します
     * UUID を UUIDv7 に切り替えます
     * リファクタリング:マップ反復をマップに置き換えます。コピー/クローン
     * s3-aws:386 のビルドを修正します
     * docs:クイックスタート docs に OpenTelemetry リンクを追加
     * S3 ドライバーのログレベルパラメーターを修正します
     * TestSchedule テストのデータ競合を修正しました
     * #4683 を修正 - ecdsa キーの拇印に Gx/Gy ではなく X/Y を使用
     * build(deps):アクション/チェックアウトを 4 から 5 に更新します
     * Docker Hub フェアユースポリシーへの壊れたリンクを修正します
     * 修正(レジストリ/ハンドラー/アプリ):redis CA
     * build(deps):アクション/ラベラーを 5 から 6 へ更新します
     * build(deps):actions/setup-go を 5 から 6 へ更新します
     * build(deps):actions/upload-pages-artifact を 3 から 4 へ更新します
     * build(deps):ossf/scorecard-action を 2.4.2 から へ更新します 2.4.3
     * build(deps):github/codeql-action を 3.26.5 から 4.30.7
     * build(deps):github/codeql-action を 4.30.7 から 4.30.8
     * chore:labeler:内部/クライアント/** 用エリア/クライアントマッピングを追加
     * client:Accept ヘッダーを Exists() HEAD に追加
     * feat(registry):緩やかなシャットダウンテストを堅牢にします
     * fix(registry):Upstream チャレンジに対するログフォーマットを修正します
     * build(deps):github/codeql-action を 4.30.8 から 4.30.9
     * build(deps):github/codeql-action を 4.30.9 から 4.31.3
     * リファクタリング:for ループの冗長変数宣言を削除
     * redis 削除ポリシーに関する「should」->「must」
     * build(deps):アクション/チェックアウトを 5 から 6 へ更新します
     * 間違った警告ヒント
     * オブジェクトをリストする際の戻りエラーを追加します
     * build(deps):アクション/チェックアウトを 5.0.1 から 6.0.0
     * build(deps):peter-evans/dockerhub-description を 4 から 5 へ更新します
     * 修正:マニフェスト HEAD リクエストのログ回帰
     * ブール解析ユーティリティを追加
     * S3 に対して「useFIPSEndpoint」を漏洩します
     * Cloudfleet Container Registry を採用者に追加
     * fix(ci):破損した Azure e2e ストレージテストを修正
     * バグ:メディアタイプが空のときにアクションと機能するように通知フィルタリングを修正します
     * build(deps):アクション/チェックアウトを 6.0.0 から 6.0.1
     * build(deps):アクション/アップロードアーティファクトを 4.6.2 から 6.0.0
     * build(deps):github/codeql-action を 4.31.3 から 4.31.10
     * build(deps):github/codeql-action を 4.31.10 から 4.32.2
     * build(deps):アクション/チェックアウトを 6.0.1 から 6.0.2
     * golangci-lint を v2.9 に更新し、linting の問題を修正します
     * go1.25.7、alpine 3.23、xx v1.9.0 に更新してください
     * ベンダー:github.com/sirupsen/logrus v1.9.4
     * ベンダー:golang.org/x/* 依存関係の更新
     * ベンダー:github.com/docker/docker-credential-helpers v0.9.5
     * ベンダー:github.com/opencontainers/image-spec v1.1.1
     * ベンダー:github.com/klauspost/compress v1.18.4
     * 修正:ハードコードされたサービス名よりも otel 変数を優先
     * ベンダー:github.com/spf13/cobra v1.10.2
     * ベンダー:github.com/bshuster-repo/logrus-logstash-hook v1.1.0
     * 修正:parent dir を同期して、データが確実に保存されるようにします
     * コードを近代化
     * ベンダー:github.com/docker/go-events 605354379745
     * ベンダー:github.com/go-jose/go-jose/v4 v4.1.3
     * build(deps):github/codeql-action を 4.32.2 から 4.32.5
     * build(deps): docker/login-action を 3 から 4 にバージョンアップ
     * build(deps):アクション/アップロードアーティファクトを 6.0.0 から 7.0.0
     * build(deps): docker/setup-buildx-action を 3 から 4 にバージョンアップ
     * build(deps):docker/bake-action を 6 から 7 に更新します
     * build(deps): docker/metadata-action を 5 から 6 にバージョンアップ
     * 修正:「proxyingRegistry.Close()」の nil-check スケジューラ
     * 修正:「putContent」での最初の「書き込み」呼び出しの前に GCS ライターで MD5 を設定します
     * docs:プルスルーキャッシュは複数回リモートからプルします
     * regionendpoint オプション s3.md 更新します
     * chore(deps):Go を CI ワークフローおよび go.mod の最新 1.25 に更新します
     * 修正:Ed25519 JWK 拇印「kty」を「OTP」から「OKP」へ修正します
     * vacuum.go を更新してください
     * オプション:リフェクタータグリストのページネーションサポート(ステージ 1)
     * 環境変数を構成で YAML インライン構造体に正しく一致させます
     * クライアント証明書なしでRedis TLSを有効にする
     * build(deps):actions/deploy-pages を 4 から 5 に更新します
     * build(deps):github/codeql-action を 4.32.5 から 4.34.1
     * 修正(レジストリ/プロキシ):書き込みバッファのフラッシュ時に分離されたコンテキストを使用します
     * ci:アクションを固定し、zizmor auto-fixes を適用します
     * build(deps):actions/setup-go を 6.3.0 から 6.4.0
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、github.com/go-jose/go-jose/v4 を 4.1.3 から 4.1.4 に更新します
     * chore(app):部分的な TLS 構成が Redis で使用される場合に警告します
     * feat(registry):htpasswd 実装での認証チェックを強化します
     * Opt:リファクタリングタグリストのページネーションのサポート
     * build(deps):codecov/codecov-action を 5.5.4 から へ更新します 6.0.0
     * build(deps):アクション/構成ページを 5.0.0 から 6.0.0
     * fix(vendor):修正がベンダー検証を破損させました
     * chore(ci):v3.1 リリースの準備
    - バージョン 3.1.0 への更新:
     * 修正(ベンダー):修正が vendpor 検証を破損させました
     * Redis repo スコープの blob 記述子失効を修正します
     * proxy:ベアラーレルムを Upstream 信頼境界にバインドします
    - 前回の変更後にディレクトリ所有権を復元
    - 変更不可モード用に systemd tmpfiles dir の構成ファイルを移動します(jsc#PED-14747)
     * distribution-registry.tmpfiles を追加します
     * これは「v2.8.3」以来のv3安定版(stable)リリースであり、コンテナコミュニティとレジストリメンテナーの長年の努力の集大成です。
     * 「v2.x」からアップグレードする場合で、どのリリース候補も使用したことがない場合は、「v2.x」の廃止についてよく理解してください。
     * OSS および Swift ストレージドライバーはサポートされなくなりました
     * https://github.com/distribution/distribution/pull/4096* の「docker/libtrust」が「go-jose/go-jose」に置換されました。デフォルトの構成パスが「/etc/distribution/config.yml」に変更された https://github.com/distribution/distribution/pull/4126* 「client」はスタンドアロンパッケージとしてサポートされなくなりました。
     * 3886 の「ManifestBuilder」インターフェイス
     * 'マニフェスト。「バージョン化」は廃止され、「oci.3887 のバージョン管理済み」
     * 「参照」パッケージが github.com/distribution/reference に移動しました https://github.com/distribution/distribution/pull/4063

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20686-1 アドバイザリで言及されています。

    ディストリビューション用のこの更新では、次の問題を修正しています

    セキュリティ問題:

    - CVE-2026-33186:google.golang.org/grpc:HTTP/2 の不適切な検証による承認バイパス:
    path 擬似ヘッダー(bsc#1260283)。
    - CVE-2026-33540:認証レルム URL の不適切な検証による情報漏洩(bsc#1261793)。
    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262951)。
    - CVE-2026-35172:コンテンツ削除後の古い参照による情報漏洩(bsc#1262096)。

    非セキュリティ問題:

    - distribution-registry.tmpfiles を追加します(jsc#PED-14747)。
    - ディストリビューションは、go1.24 EOL に対してビルドします(bsc#1259718)。

    配布に関する変更:

    - 3.1.0 に更新してください

     * タグページネーションのサポートを追加します
     * Azure ストレージプロバイダーのデフォルトの認証情報を修正
     * go1.23 および go1.24 のサポートをドロップし、go1.25 に更新します
     * 変更の完全なリストについては、下記の変更ログ全体を参照してください。
     * docs:新しいイメージタグ v3 を参照するために更新します
     * Azure ストレージプロバイダーのdefault_credentialsを修正します
     * chore:関数コメントを関数名と一致させます
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、golang.org/x/net を 0.37.0 から 0.38.0 に更新します
     * 修正:Ed25519 公開鍵の JWK 拇印を実装します
     * 修正:validation.indexes 構成ドキュメントからのコードブロックに注釈をつける
     * feat:redis 構成を抽出して構造体を分離します
     * 修正:追加しない書き込みに一時ファイルを使用することで #4478 される問題を解決します
     * build(deps):ossf/scorecard-action を 2.4.1 から へ更新します 2.4.2
     * docs:「OTEL_TRACES_EXPORTER」に関する注記を追加
     * 修正:デフォルトで OTEL トレースを無効に設定
     * docs の OTEL トレースリンクに対するマークダウン構文を修正します
     * UUID を UUIDv7 に切り替えます
     * リファクタリング:マップ反復をマップに置き換えます。コピー/クローン
     * s3-aws:386 のビルドを修正します
     * docs:クイックスタート docs に OpenTelemetry リンクを追加
     * S3 ドライバーのログレベルパラメーターを修正します
     * TestSchedule テストのデータ競合を修正しました
     * #4683 を修正 - ecdsa キーの拇印に Gx/Gy ではなく X/Y を使用
     * build(deps):アクション/チェックアウトを 4 から 5 に更新します
     * Docker Hub フェアユースポリシーへの壊れたリンクを修正します
     * 修正(レジストリ/ハンドラー/アプリ):redis CA
     * build(deps):アクション/ラベラーを 5 から 6 へ更新します
     * build(deps):actions/setup-go を 5 から 6 へ更新します
     * build(deps):actions/upload-pages-artifact を 3 から 4 へ更新します
     * build(deps):ossf/scorecard-action を 2.4.2 から へ更新します 2.4.3
     * build(deps):github/codeql-action を 3.26.5 から へ更新します 4.30.7
     * build(deps):github/codeql-action を 4.30.7 から へ更新します 4.30.8
     * chore:labeler:内部/クライアント/** 用エリア/クライアントマッピングを追加
     * client:Accept ヘッダーを Exists() HEAD に追加
     * feat(registry):緩やかなシャットダウンテストを堅牢にします
     * fix(registry):Upstream チャレンジに対するログフォーマットを修正します
     * build(deps):github/codeql-action を 4.30.8 から へ更新します 4.30.9
     * build(deps):github/codeql-action を 4.30.9 から へ更新します 4.31.3
     * リファクタリング:for ループの冗長変数宣言を削除
     * redis 削除ポリシーに関して -> 必須
     * build(deps):アクション/チェックアウトを 5 から 6 へ更新します
     * 間違った警告ヒント
     * オブジェクトをリストする際の戻りエラーを追加します
     * build(deps):アクション/チェックアウトを 5.0.1 から 6.0.0
     * build(deps):peter-evans/dockerhub-description を 4 から 5 へ更新します
     * 修正:マニフェスト HEAD リクエストのログ回帰
     * ブール解析ユーティリティを追加
     * S3 に対して「useFIPSEndpoint」を漏洩します
     * Cloudfleet Container Registry を採用者に追加
     * fix(ci):破損した Azure e2e ストレージテストを修正
     * バグ:メディアタイプが空のときにアクションと機能するように通知フィルタリングを修正します
     * build(deps):アクション/チェックアウトを 6.0.0 から 6.0.1
     * build(deps):アクション/アップロードアーティファクトを 4.6.2 から 6.0.0
     * build(deps):github/codeql-action を 4.31.3 から へ更新します 4.31.10
     * build(deps):github/codeql-action を 4.31.10 から へ更新します 4.32.2
     * build(deps):アクション/チェックアウトを 6.0.1 から 6.0.2
     * golangci-lint を v2.9 に更新し、linting の問題を修正します
     * go1.25.7、alpine 3.23、xx v1.9.0 に更新してください
     * ベンダー:github.com/sirupsen/logrus v1.9.4
     * ベンダー:golang.org/x/* 依存関係の更新
     * ベンダー:github.com/docker/docker-credential-helpers v0.9.5
     * ベンダー:github.com/opencontainers/image-spec v1.1.1
     * ベンダー:github.com/klauspost/compress v1.18.4
     * 修正:ハードコードされたサービス名よりも otel 変数を優先
     * ベンダー:github.com/spf13/cobra v1.10.2
     * ベンダー:github.com/bshuster-repo/logrus-logstash-hook v1.1.0
     * 修正:parent dir を同期して、データが確実に保存されるようにします
     * コードを近代化
     * ベンダー:github.com/docker/go-events 605354379745
     * ベンダー:github.com/go-jose/go-jose/v4 v4.1.3
     * build(deps):github/codeql-action を 4.32.2 から へ更新します 4.32.5
     * build(deps):docker/login-action を 3 から 4 へ更新します
     * build(deps):アクション/アップロードアーティファクトを 6.0.0 から 7.0.0
     * build(deps):docker/setup-buildx-action を 3 から 4 へ更新します
     * build(deps):docker/bake-action を 6 から 7 へ更新します
     * build(deps):docker/metadata-action を 5 から 6 へ更新します
     * 修正:「proxyingRegistry.Close()」の nil-check スケジューラ
     * 修正:「putContent」での最初の「書き込み」呼び出しの前に GCS ライターで MD5 を設定します
     * docs:プルスルーキャッシュは複数回リモートからプルします
     * regionendpoint オプション s3.md 更新します
     * chore(deps):Go を CI ワークフローおよび go.mod の最新 1.25 に更新します
     * 修正:Ed25519 JWK 拇印「kty」を「OTP」から「OKP」へ修正します
     * vacuum.go を更新してください
     * オプション:リフェクタータグリストのページネーションのサポート(ステージ 1)
     * 環境変数を構成で YAML インライン構造体に正しく一致させます
     * クライアント証明書なしでRedis TLSを有効にする
     * build(deps):actions/deploy-pages を 4 から 5 に更新します
     * build(deps):github/codeql-action を 4.32.5 から へ更新します 4.34.1
     * 修正(レジストリ/プロキシ):書き込みバッファのフラッシュ時に分離されたコンテキストを使用します
     * ci:アクションを固定し、zizmor auto-fixes を適用します
     * build(deps):actions/setup-go を 6.3.0 から 6.4.0
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、github.com/go-jose/go-jose/v4 を 4.1.3 から 4.1.4 に更新します
     * chore(app):部分的な TLS 構成が Redis で使用される場合に警告します
     * feat(registry):htpasswd 実装での認証チェックを強化します
     * Opt:リファクタリングタグリストのページネーションのサポート
     * build(deps):codecov/codecov-action を 5.5.4 から へ更新します 6.0.0
     * build(deps):アクション/構成ページを 5.0.0 から 6.0.0
     * fix(vendor):修正がベンダー検証を破損させました
     * chore(ci):v3.1 リリースの準備
    - バージョン 3.1.0 への更新:
     * 修正(ベンダー):修正が vendpor 検証を破損させました
     * Redis repo スコープの blob 記述子失効を修正します
     * proxy:ベアラーレルムを Upstream 信頼境界にバインドします
    - 前回の変更後にディレクトリ所有権を復元
    - 変更不可モードの場合に、systemd tmpfiles dir 内の構成ファイルを移動します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Distribution は、コンテナコンテンツをパック、出荷、保存、提供するためのツールキットです。 3.1.0[] より前の では、プルスルーキャッシュモードで、ディストリビューションは構成済みの Upstream レジストリによって返される WWW 認証チャレンジを解析することで、トークン認証エンドポイントを発見します。ベアラーチャレンジからのレルム URL が、Upstream レジストリホストと一致することを検証せずに使用されます。結果として、攻撃者が制御するUpstreamまたはUpstreamにMitMポジションを持つ攻撃者が、構成済みのUpstream認証情報をディストリビューションに基本認証経由で攻撃者が制御するレルムURLに送信させる可能性があります。この脆弱性は 3.1.0 で修正されています。
    (CVE-2026-33540)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20686-1 advisory.

    This update for distribution fixes the following issues

    Security issues:

    - CVE-2026-33186: google.golang.org/grpc: authorization bypass due to improper validation of the HTTP/2:
    path pseudo-       header (bsc#1260283).
    - CVE-2026-33540: information disclosure via improper validation of authentication realm URL     (bsc#1261793).
    - CVE-2026-34986: github.com/go-jose/go-jose/v4: crafted JWE input with a missing encrypted key can lead     to a denial of       service (bsc#1262951).
    - CVE-2026-35172: information disclosure via stale references after content deletion (bsc#1262096).

    Non security issues:

    - add distribution-registry.tmpfiles (jsc#PED-14747).
    - distribution builds against go1.24 EOL (bsc#1259718).

    Changes for distribution:

    - update to 3.1.0

     * Adds support for tag pagination
     * Fixes default credentials in Azure storage provider
     * Drops support for go1.23 and go1.24 and updates to go1.25
     * See the full changelog below for the full list of changes.
     * docs: Update to refer to new image tag v3
     * Fix default_credentials in azure storage provider
     * chore: make function comment match function name
     * build(deps): bump golang.org/x/net from 0.37.0 to 0.38.0 in      the go_modules group across 1 directory
     * fix: implement JWK thumbprint for Ed25519 public keys
     * fix: Annotate code block from validation.indexes      configuration docs
     * feat: extract redis config to separate struct
     * Fix: resolve issue #4478 by using a temporary file for non-      append writes
     * build(deps): bump ossf/scorecard-action from 2.4.1 to 2.4.2
     * docs: Add note about `OTEL_TRACES_EXPORTER`
     * fix: set OTEL traces to disabled by default
     * Fix markdown syntax for OTEL traces link in docs
     * Switch UUIDs to UUIDv7
     * refactor: replace map iteration with maps.Copy/Clone
     * s3-aws: fix build for 386
     * docs: Add OpenTelemetry links to quickstart docs
     * Fix S3 driver loglevel param
     * Fixed data race in TestSchedule test
     * Fixes #4683 - uses X/Y instead of Gx/Gy for thumbprint of      ecdsa keys
     * build(deps): bump actions/checkout from 4 to 5
     * Fix broken link to Docker Hub fair use policy
     * fix(registry/handlers/app): redis CAs
     * build(deps): bump actions/labeler from 5 to 6
     * build(deps): bump actions/setup-go from 5 to 6
     * build(deps): bump actions/upload-pages-artifact from 3 to 4
     * build(deps): bump ossf/scorecard-action from 2.4.2 to 2.4.3
     * build(deps): bump github/codeql-action from 3.26.5 to 4.30.7
     * build(deps): bump github/codeql-action from 4.30.7 to 4.30.8
     * chore: labeler: add area/client mapping for      internal/client/**
     * client: add Accept headers to Exists() HEAD
     * feat(registry): Make graceful shutdown test robust
     * fix(registry): Correct log formatting for upstream challenge
     * build(deps): bump github/codeql-action from 4.30.8 to 4.30.9
     * build(deps): bump github/codeql-action from 4.30.9 to 4.31.3
     * refactor: remove redundant variable declarations in for loops
     * should -> must regarding redis eviction policy
     * build(deps): bump actions/checkout from 5 to 6
     * Incorrect warning hint
     * Add return error when list object
     * build(deps): bump actions/checkout from 5.0.1 to 6.0.0
     * build(deps): bump peter-evans/dockerhub-description from 4 to      5
     * fix: Logging regression for manifest HEAD requests
     * Add boolean parsing util
     * Expose `useFIPSEndpoint` for S3
     * Add Cloudfleet Container Registry to adopters
     * fix(ci): Fix broken Azure e2e storage tests
     * BUG: Fix notification filtering to work with actions when      mediatypes is empty
     * build(deps): bump actions/checkout from 6.0.0 to 6.0.1
     * build(deps): bump actions/upload-artifact from 4.6.2 to 6.0.0
     * build(deps): bump github/codeql-action from 4.31.3 to 4.31.10
     * build(deps): bump github/codeql-action from 4.31.10 to 4.32.2
     * build(deps): bump actions/checkout from 6.0.1 to 6.0.2
     * update golangci-lint to v2.9 and fix linting issues
     * update to go1.25.7, alpine 3.23, xx v1.9.0
     * vendor: github.com/sirupsen/logrus v1.9.4
     * vendor: update golang.org/x/* dependencies
     * vendor: github.com/docker/docker-credential-helpers v0.9.5
     * vendor: github.com/opencontainers/image-spec v1.1.1
     * vendor: github.com/klauspost/compress v1.18.4
     * fix: prefer otel variables over hard coded service name
     * vendor: github.com/spf13/cobra v1.10.2
     * vendor: github.com/bshuster-repo/logrus-logstash-hook v1.1.0
     * fix: sync parent dir to ensure data is reliably stored
     * modernize code
     * vendor: github.com/docker/go-events 605354379745
     * vendor: github.com/go-jose/go-jose/v4 v4.1.3
     * build(deps): bump github/codeql-action from 4.32.2 to 4.32.5
     * build(deps): bump docker/login-action from 3 to 4
     * build(deps): bump actions/upload-artifact from 6.0.0 to 7.0.0
     * build(deps): bump docker/setup-buildx-action from 3 to 4
     * build(deps): bump docker/bake-action from 6 to 7
     * build(deps): bump docker/metadata-action from 5 to 6
     * fix: nil-check scheduler in `proxyingRegistry.Close()`
     * fix: set MD5 on GCS writer before first `Write` call in      `putContent`
     * docs: pull through cache will pull from remote multiple times
     * Update s3.md regionendpoint option
     * chore(deps): Bump Go to latest 1.25 in CI workflows and      go.mod
     * fix: correct Ed25519 JWK thumbprint `kty` from `OTP` to      `OKP`
     * Update vacuum.go
     * Opt: refector tag list pagination support (stage 1)
     * Correctly match environment variables to YAML-inlined structs      in configuration
     * Enable Redis TLS without client certificates
     * build(deps): bump actions/deploy-pages from 4 to 5
     * build(deps): bump github/codeql-action from 4.32.5 to 4.34.1
     * fix(registry/proxy): use detached context when flushing write      buffer
     * ci: pin actions and apply zizmor auto-fixes
     * build(deps): bump actions/setup-go from 6.3.0 to 6.4.0
     * build(deps): bump github.com/go-jose/go-jose/v4 from 4.1.3 to      4.1.4 in the go_modules group across 1 directory
     * chore(app): warn when partial TLS config is used in Redis
     * feat(registry): enhance authentication checks in htpasswd      implementation
     * Opt: refactor tag list pagination support
     * build(deps): bump codecov/codecov-action from 5.5.4 to 6.0.0
     * build(deps): bump actions/configure-pages from 5.0.0 to 6.0.0
     * fix(vendor): fix broke vendor validation
     * chore(ci): Prep for v3.1 release
    - Update to version 3.1.0:
     * fix(vendor): fix broke vendpor validation
     * fix redis repo-scoped blob descriptor revocation
     * proxy: bind bearer realms to upstream trust boundary
    - restore directory ownership after last change
    - Move config files in systemd tmpfiles dir for immutable mode

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Distribution is a toolkit to pack, ship, store, and deliver container content. Prior to 3.1.0, in pull-     through cache mode, distribution discovers token auth endpoints by parsing WWW-Authenticate challenges     returned by the configured upstream registry. The realm URL from a bearer challenge is used without     validating that it matches the upstream registry host. As a result, an attacker-controlled upstream (or an     attacker with MitM position to the upstream) can cause distribution to send the configured upstream     credentials via basic auth to an attacker-controlled realm URL. This vulnerability is fixed in 3.1.0.
    (CVE-2026-33540)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-d7d99f08ff advisory.

    Automatic update for docker-distribution-3.1.1-1.fc45.

    ##### **Changelog**

    ```
    * Fri May  1 2026 Bradley G Smith <bradley.g.smith@gmail.com> - 3.1.1-1
    - Update to release v3.1.1
    - Resolves: rhbz#2455529
    - Fixes CVE-2026-41888
    - Upstream fixes and updates
    - Temporary annocheck skip test for broken branch protection test on       aarch64
    * Mon Apr  6 2026 Bradley G Smith <bradley.g.smith@gmail.com> - 3.1.0-1
    - Update to release v3.1.0
    - Resolves: rhbz#2455529, rhbz#2455654
    - Resolves CVE-2026-35172
    - Resolves CVE-2026-33540
    - Upstream fixes
    * Sun Feb  8 2026 Bradley G Smith <bradley.g.smith@gmail.com> - 3.0.0-5
    - Remove duplicate lines
    * Mon Feb  2 2026 Maxwell G <maxwell@gtmx.me> - 3.0.0-4
    - Rebuild for https://fedoraproject.org/wiki/Changes/golang1.26

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4212-1 advisory.

    Security issues fixed:

    - CVE-2026-33186: google.golang.org/grpc: authorization bypass due to improper validation of the HTTP/2     :path pseudo-       header (bsc#1260283).
    - CVE-2026-33540: information disclosure via improper validation of authentication realm URL     (bsc#1261793).
    - CVE-2026-33814: golang.org/x/net/http2: infinite loop in HTTP/2 transport when given bad     SETTINGS_MAX_FRAME_SIZE       (bsc#1265788).
    - CVE-2026-34986: github.com/go-jose/go-jose/v4: crafted JWE input with a missing encrypted key can lead     to a denial of       service (bsc#1262951).
    - CVE-2026-35172: information disclosure via stale references after content deletion (bsc#1262096).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation       bypass and privilege escalation (bsc#1266629).
    - CVE-2026-39827,CVE-2026-39828,CVE-2026-39829,CVE-2026-39830,CVE-2026-39831,       CVE-2026-39832,CVE-2026-39833,CVE-2026-39834,CVE-2026-39835,CVE-2026-42508,       CVE-2026-46595,CVE-2026-46597,CVE-2026-46598: golang.org/x/crypto/ssh: multiple issues (bsc#1268884).
    - CVE-2026-41888: tag deletion bypasses the storage.delete.enabled configuration (bsc#1265429).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1272132).

    Changes for distribution:

    Update to 3.1.1:

     * Bounds-check the file basename in PurgeUploads Walk callback
     * Add S3 Express One Zone support to the S3 storage driver
     * Fix tag list endpoint in proxy mode
     * Clamp oversized `n` query parameter in proxy mode instead of      returning 400
     * See the full changelog below for the full list of changes.
     * internal/client/auth/challenge: cleanups and minor refactor
     * build(deps): bump      go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploghttp      from 0.18.0 to 0.19.0 in the go_modules group across 1      directory
     * build(deps): bump go.opentelemetry.io/otel/exporters/otlp/otl      ptrace/otlptracehttp from 1.42.0 to 1.43.0 in the go_modules      group across 1 directory
     * build(deps): bump github/codeql-action from 4.34.1 to 4.35.1
     * chore(build): Bump go version to latest
     * refactor: use slices.Backward to simplify the code
     * fix(proxy): fix tag list endpoint in proxy mode
     * Update docker-compose structure in deploying.md
     * build(deps): bump actions/upload-artifact from 7.0.0 to 7.0.1
     * build(deps): bump actions/upload-pages-artifact from 4.0.0 to      5.0.0
     * build(deps): bump docker/login-action from 4.0.0 to 4.1.0
     * build(deps): bump docker/bake-action from 7.0.0 to 7.1.0
     * fix(proxy): clamp oversized n query param instead of
     * feat(s3): add express zone one support to S3 driver
     * fix(storage): bounds-check the file basename in PurgeUploads      Walk callback
     * chore(release): prepare for v3.1.1 release
     * Adds support for tag pagination
     * Fixes default credentials in Azure storage provider
     * Drops support for go1.23 and go1.24 and updates to go1.25
     * docs: Update to refer to new image tag v3
     * Fix default_credentials in azure storage provider
     * chore: make function comment match function name
     * build(deps): bump golang.org/x/net from 0.37.0 to 0.38.0 in      the go_modules group across 1 directory
     * fix: implement JWK thumbprint for Ed25519 public keys
     * fix: Annotate code block from validation.indexes      configuration docs
     * feat: extract redis config to separate struct
     * Fix: resolve issue #4478 by using a temporary file for non-      append writes
     * build(deps): bump ossf/scorecard-action from 2.4.1 to 2.4.2
     * docs: Add note about `OTEL_TRACES_EXPORTER`
     * fix: set OTEL traces to disabled by default
     * Fix markdown syntax for OTEL traces link in docs
     * Switch UUIDs to UUIDv7
     * refactor: replace map iteration with maps.Copy/Clone
     * s3-aws: fix build for 386
     * docs: Add OpenTelemetry links to quickstart docs
     * Fix S3 driver loglevel param
     * Fixed data race in TestSchedule test
     * Fixes #4683 - uses X/Y instead of Gx/Gy for thumbprint of      ecdsa keys
     * build(deps): bump actions/checkout from 4 to 5
     * Fix broken link to Docker Hub fair use policy
     * fix(registry/handlers/app): redis CAs
     * build(deps): bump actions/labeler from 5 to 6
     * build(deps): bump actions/setup-go from 5 to 6
     * build(deps): bump actions/upload-pages-artifact from 3 to 4
     * build(deps): bump ossf/scorecard-action from 2.4.2 to 2.4.3
     * build(deps): bump github/codeql-action from 3.26.5 to 4.30.7
     * build(deps): bump github/codeql-action from 4.30.7 to 4.30.8
     * chore: labeler: add area/client mapping for      internal/client/**
     * client: add Accept headers to Exists() HEAD
     * feat(registry): Make graceful shutdown test robust
     * fix(registry): Correct log formatting for upstream challenge
     * build(deps): bump github/codeql-action from 4.30.8 to 4.30.9
     * build(deps): bump github/codeql-action from 4.30.9 to 4.31.3
     * refactor: remove redundant variable declarations in for loops
     * 'should' -> 'must' regarding redis eviction policy
     * build(deps): bump actions/checkout from 5 to 6
     * Incorrect warning hint
     * Add return error when list object
     * build(deps): bump actions/checkout from 5.0.1 to 6.0.0
     * build(deps): bump peter-evans/dockerhub-description from 4 to      5
     * fix: Logging regression for manifest HEAD requests
     * Add boolean parsing util
     * Expose `useFIPSEndpoint` for S3
     * Add Cloudfleet Container Registry to adopters
     * fix(ci): Fix broken Azure e2e storage tests
     * BUG: Fix notification filtering to work with actions when      mediatypes is empty
     * build(deps): bump actions/checkout from 6.0.0 to 6.0.1
     * build(deps): bump actions/upload-artifact from 4.6.2 to 6.0.0
     * build(deps): bump github/codeql-action from 4.31.3 to 4.31.10
     * build(deps): bump github/codeql-action from 4.31.10 to 4.32.2
     * build(deps): bump actions/checkout from 6.0.1 to 6.0.2
     * update golangci-lint to v2.9 and fix linting issues
     * update to go1.25.7, alpine 3.23, xx v1.9.0
     * vendor: github.com/sirupsen/logrus v1.9.4
     * vendor: update golang.org/x/* dependencies
     * vendor: github.com/docker/docker-credential-helpers v0.9.5
     * vendor: github.com/opencontainers/image-spec v1.1.1
     * vendor: github.com/klauspost/compress v1.18.4
     * fix: prefer otel variables over hard coded service name
     * vendor: github.com/spf13/cobra v1.10.2
     * vendor: github.com/bshuster-repo/logrus-logstash-hook v1.1.0
     * fix: sync parent dir to ensure data is reliably stored
     * modernize code
     * vendor: github.com/docker/go-events 605354379745
     * vendor: github.com/go-jose/go-jose/v4 v4.1.3
     * build(deps): bump github/codeql-action from 4.32.2 to 4.32.5
     * build(deps): bump docker/login-action from 3 to 4
     * build(deps): bump actions/upload-artifact from 6.0.0 to 7.0.0
     * build(deps): bump docker/setup-buildx-action from 3 to 4
     * build(deps): bump docker/bake-action from 6 to 7
     * build(deps): bump docker/metadata-action from 5 to 6
     * fix: nil-check scheduler in `proxyingRegistry.Close()`
     * fix: set MD5 on GCS writer before first `Write` call in      `putContent`
     * docs: pull through cache will pull from remote multiple times
     * Update s3.md regionendpoint option
     * chore(deps): Bump Go to latest 1.25 in CI workflows and      go.mod
     * fix: correct Ed25519 JWK thumbprint `kty` from `'OTP'` to      `'OKP'`
     * Update vacuum.go
     * Opt: refector tag list pagination support (stage 1)
     * Correctly match environment variables to YAML-inlined structs      in configuration
     * Enable Redis TLS without client certificates
     * build(deps): bump actions/deploy-pages from 4 to 5
     * build(deps): bump github/codeql-action from 4.32.5 to 4.34.1
     * fix(registry/proxy): use detached context when flushing write      buffer
     * ci: pin actions and apply zizmor auto-fixes
     * build(deps): bump actions/setup-go from 6.3.0 to 6.4.0
     * build(deps): bump github.com/go-jose/go-jose/v4 from 4.1.3 to      4.1.4 in the go_modules group across 1 directory
     * chore(app): warn when partial TLS config is used in Redis
     * feat(registry): enhance authentication checks in htpasswd      implementation
     * Opt: refactor tag list pagination support
     * build(deps): bump codecov/codecov-action from 5.5.4 to 6.0.0
     * build(deps): bump actions/configure-pages from 5.0.0 to 6.0.0
     * fix(vendor): fix broke vendor validation
     * chore(ci): Prep for v3.1 release
    - Update to version 3.1.0:
     * fix(vendor): fix broke vendpor validation
     * fix redis repo-scoped blob descriptor revocation
     * proxy: bind bearer realms to upstream trust boundary
    - restore directory ownership after last change
    - Move config files in systemd tmpfiles dir for immutable mode      (jsc#PED-14747)
     * Add distribution-registry.tmpfiles
     * This is the first v3 stable release since `v2.8.3` which is a      culmination of years of hard work of the container community      and registry maintainers!
     * If you are upgrading from `v2.x` and have never used any of      the release candidates, please familiarise yourselves with      the `v2.x` deprecations properly.
     * oss and swift storage drivers are no longer supported
     * `docker/libtrust` has been replaced with `go-jose/go-jose` in      https://github.com/distribution/distribution/pull/4096
     * `client` is no longer supported as a standalone package in      https://github.com/distribution/distribution/pull/4126
     * the default configuration path has changed to      `/etc/distribution/config.yml`
     * `ManifestBuilder` interface in 3886
     * `manifest.Versioned` has been deprecated in favor of      `oci.Versioned` in 3887
     * `reference` package has been moved to      github.com/distribution/reference in      https://github.com/distribution/distribution/pull/4063

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
446795	SCA: security update for github.com/distribution/distribution, github.com/distribution/distribution/v3 (GHSA-3p65-76g6-3w7r)	Tenable Cloud Security	SCA Checks	2026/8/31	2026/8/31	high
446795	SCA: security update for github.com/distribution/distribution, github.com/distribution/distribution/v3 (GHSA-3p65-76g6-3w7r)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/31	2026/8/31	high
305624	Linux Distros 未修補的弱點：CVE-2026-33540	Nessus	Misc.	2026/4/8	2026/9/2	high
305624	Linux Distros 未修补的漏洞：CVE-2026-33540	Nessus	Misc.	2026/4/8	2026/9/2	high
311486	Fedora 45 : docker-distribution (2026-d7d99f08ff)	Nessus	Fedora Local Security Checks	2026/5/2	2026/5/18	medium
346801	SUSE SLES15 セキュリティ更新:distribution(SUSE-SU-2026:4212-1)	Nessus	SuSE Local Security Checks	2026/9/17	2026/9/17	medium
313696	openSUSE 16 セキュリティ更新:distribution(openSUSE-SU-2026:20686-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	critical
305624	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33540	Nessus	Misc.	2026/4/8	2026/9/2	high
313696	openSUSE 16 Security Update : distribution (openSUSE-SU-2026:20686-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	critical
305624	Linux Distros Unpatched Vulnerability : CVE-2026-33540	Nessus	Misc.	2026/4/8	2026/9/2	high
311486	Fedora 45 : docker-distribution (2026-d7d99f08ff)	Nessus	Fedora Local Security Checks	2026/5/2	2026/5/18	medium
346801	SUSE SLES15 Security Update : distribution (SUSE-SU-2026:4212-1)	Nessus	SuSE Local Security Checks	2026/9/17	2026/9/17	medium

检测

插件搜索

high

high

high

high

medium

medium

critical

high

critical

high

medium

medium