There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Helm is a package manager for Charts for Kubernetes. From 4.0.0 to 4.1.3, a specially crafted Helm plugin,
    when installed or updated, will cause Helm to write the contents of the plugin to an arbitrary filesystem
    location. To prevent this, validate that the plugin.yaml of the Helm plugin does not include a version:
    field containing POSIX dot-dot path separators ie. "/../". This vulnerability is fixed in 4.1.4.
    (CVE-2026-35204)

リモートの Fedora 44 ホストには、FEDORA-2026-5b642da12e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    4.2.2 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21983-1 アドバイザリで言及されています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:23984-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21983-1 advisory.

    - CVE-2026-33814: golang.org/x/net/http2: infinite loop in HTTP/2 transport when given bad     SETTINGS_MAX_FRAME_SIZE       (bsc#1265758).
    - CVE-2026-35204: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary file write via specially crafted     plugin       (bsc#1261939).
    - CVE-2026-35205: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary code execution due to     insufficient plugin       provenance verification (bsc#1261935).
    - CVE-2026-35206: github.com/helm/helm: Helm: Files written to unexpected directory via specially crafted     Chart       (bsc#1261938).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation: no rejection of     raw-length       headers in baggage parsing allows for DoS via oversized inputs (bsc#1276510).
    - CVE-2026-41888: github.com/distribution/distribution/v3: tag deletion bypasses the     storage.delete.enabled       configuration (bsc#1265428).
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: Malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).
    - CVE-2026-50151: oras-go: Credential forwarding via unvalidated Location header during blob upload     (bsc#1271660).
    - CVE-2026-50163: oras-go: Information disclosure and arbitrary file access via crafted tarball hardlinks     (bsc#1276327).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1271997).
    - CVE-2026-56854: golang.org/x/crypto/ssh: source-address restriction bypassed in 5 callback families     (bsc#1281426).
    - CVE-2026-56855: golang.org/x/crypto/ssh: prevent DoS on deadlocked established channel (bsc#1281426).
    - CVE-2026-56864: x/mod/sumdb: ignore unrelated, unauthenticated hashes in Lookup (bsc#1275025).
    - CVE-2026-56865: x/mod/sumdb/tlog: fix transparency log tile verification bypass (bsc#1275024).
    - CVE-2026-78662: golang.org/x/crypto/ssh: prevent DoS on deadlocked undecided channel (bsc#1281426).
    - CVE-2026-81871: go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc: OpenTelemetry-Go: TLS     certificate bypass       allows log telemetry interception and alteration (bsc#1281468).
    - CVE-2026-81872: go.opentelemetry.io/otel/sdk/log: OpenTelemetry-Go: Denial of Service via attacker-     driven log emission       (bsc#1281469).
    - CVE-2026-85732: oras.land/oras-go/v2: blind SSRF via unvalidated Link header URL in pagination allows     internal network       probing (bsc#1281112).
    - gRPC-Go: several issues affecting the xDS RBAC authorization engine and the HTTP/2 transport server     implementation       (bsc#1276514).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:23984-1 advisory.

    - CVE-2026-33814: golang.org/x/net/http2: infinite loop in HTTP/2 transport when given bad     SETTINGS_MAX_FRAME_SIZE       (bsc#1265758).
    - CVE-2026-35204: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary file write via specially crafted     plugin       (bsc#1261939).
    - CVE-2026-35205: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary code execution due to     insufficient plugin       provenance verification (bsc#1261935).
    - CVE-2026-35206: github.com/helm/helm: Helm: Files written to unexpected directory via specially crafted     Chart       (bsc#1261938).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation: no rejection of     raw-length       headers in baggage parsing allows for DoS via oversized inputs (bsc#1276510).
    - CVE-2026-41888: github.com/distribution/distribution/v3: tag deletion bypasses the     storage.delete.enabled       configuration (bsc#1265428).
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: Malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).
    - CVE-2026-50151: oras-go: Credential forwarding via unvalidated Location header during blob upload     (bsc#1271660).
    - CVE-2026-50163: oras-go: Information disclosure and arbitrary file access via crafted tarball hardlinks     (bsc#1276327).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1271997).
    - CVE-2026-56854: golang.org/x/crypto/ssh: source-address restriction bypassed in 5 callback families     (bsc#1281426).
    - CVE-2026-56855: golang.org/x/crypto/ssh: prevent DoS on deadlocked established channel (bsc#1281426).
    - CVE-2026-56864: x/mod/sumdb: ignore unrelated, unauthenticated hashes in Lookup (bsc#1275025).
    - CVE-2026-56865: x/mod/sumdb/tlog: fix transparency log tile verification bypass (bsc#1275024).
    - CVE-2026-78662: golang.org/x/crypto/ssh: prevent DoS on deadlocked undecided channel (bsc#1281426).
    - CVE-2026-81871: go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc: OpenTelemetry-Go: TLS     certificate bypass       allows log telemetry interception and alteration (bsc#1281468).
    - CVE-2026-81872: go.opentelemetry.io/otel/sdk/log: OpenTelemetry-Go: Denial of Service via attacker-     driven log emission       (bsc#1281469).
    - CVE-2026-85732: oras.land/oras-go/v2: blind SSRF via unvalidated Link header URL in pagination allows     internal network       probing (bsc#1281112).
    - gRPC-Go: several issues affecting the xDS RBAC authorization engine and the HTTP/2 transport server     implementation       (bsc#1276514).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-5b642da12e advisory.

    Update to 4.2.2

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
440166	SCA: security update for helm.sh/helm/v4 (GHSA-vmx8-mqv2-9gmg)	Tenable Cloud Security	SCA Checks	2026/4/10	2026/7/9	high
440166	SCA: security update for helm.sh/helm/v4 (GHSA-vmx8-mqv2-9gmg)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/10	2026/7/9	high
325606	Fedora 44:helm(2026-5b642da12e)	Nessus	Fedora Local Security Checks	2026/7/8	2026/7/8	high
362531	openSUSE 16:helm / helm-bash-completion / helm-fish-completion / etc(openSUSE-SU-2026:21983-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
363069	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:23984-1)	Nessus	SuSE Local Security Checks	2026/10/6	2026/10/6	high
362531	openSUSE 16: helm / helm-bash-completion / helm-fish-completion / etc (openSUSE-SU-2026:21983-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
363069	SUSE SLES16: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2026:23984-1)	Nessus	SuSE Local Security Checks	2026/10/6	2026/10/6	high
325606	Fedora 44 : helm (2026-5b642da12e)	Nessus	Fedora Local Security Checks	2026/7/8	2026/7/8	high

检测

插件搜索

high

high

high

high

high

high

high

high