Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Sigstore Timestamp Authority 是一種用於核發 RFC 3161 時間戳記的服務。 2.0.5 版及更舊版本的 VerifyTimestampResponse 函式中有一個授權繞過弱點。
    VerifyTimestampResponse 可正確驗證憑證鏈簽章但是 VerifyLeafCert 中的 TSA 特定限制檢查使用 PKCS#7 憑證包中的第一個非 CA 憑證而非來自已驗證之鍊結的分葉憑證。攻擊者可在以授權金鑰簽署訊息時在憑證包前面附加偽造的憑證進而惡意利用此問題造成程式庫針對一個憑證驗證簽章但針對另一個憑證執行授權檢查。此弱點只會影響時間戳記-authority/v2/pkg/verification 套件的使用者而不會影響時間戳記-authority 服務本身或 sigstore-go。此問題已在版本 2.0.6中修正。 (CVE-2026-39984)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 nerdctl 版本低於 2.2.2-1。因此，它會受到 ALAS2-2026-3265 公告中所提及的多個弱點影響。

    未正確檢查迴圈中的算術過度匯總變數是否有 Go 編譯器 (cmd/complie) 反向溢位或溢位。因此，編譯器會允許在運行時發生無效索引，可能導致使用受影響 Go 版本編譯的程式發生記憶體破壞。(CVE-2026-27143)

    Go 編譯器 (cmd/compile) 未正確處理 no-op 介面轉換，導致無法正確判斷非重疊記憶體移動，可能導致以受影響的 Go 版本編譯的程式在運行時間發生記憶體損毀。 (CVE-2026-27144)

    在鏈結構建期間，當在 VerifyOptions.Intermediates 中傳遞大量中繼憑證時，未正確限制已完成的工作量，這可導致拒絕服務。這會影響 crypto/x509 的直接使用者和 crypto/tls 的使用者。 (CVE-2026-32280)

    當憑證鏈中的憑證含有大量原則對應時，驗證使用原則的憑證鏈會意外低效，進而可能造成拒絕服務。這只會影響對其他受信任憑證鏈結的驗證，這些憑證鍊是由 VerifyOptions.Roots CertPool 中或系統憑證集區中的 root CA 所發出。 (CVE-2026-32281)

    在 Linux 上，當 chmod 作業進行中時，若以符號連結取代 Root.Chmod 的目標，則 Chmod 可在符號連結目標上執行，即使目標位於 root 之外也是如此。
    (CVE-2026-32282)

    如果 TLS 連線的一端在單一記錄中傳送多個交握後金鑰更新訊息，連線可能會鎖死，造成資源消耗不受控制。這可導致拒絕服務。這只會影響 TLS 1.3。 (CVE-2026-32283)

    讀取惡意特製的封存 (其中含有大量以舊版 GNU 疏鬆對應格式編碼的疏鬆區域) 時，tar.Reader 會配置無限量的記憶體。 (CVE-2026-32288)

    未正確跨 JS 範本常值的範本分支追踪內容，可能導致不正確的內容逸出。這可造成 JS 範本常值內的動作錯誤逸出，進而導致 XSS 弱點。 (CVE-2026-32289)

    Go JOSE 提供了 JavaScript Object Signing and Encryption 標準集的 Go 語言實現，其中包括對 JSON Web Encryption (JWE)、JSON Web Signature (JWS) 以及 JSON Web Token (JWT) 標準的支援。在 4.1.4 和 3.0.5 之前的版本中，如果 alg 欄位指示金鑰包裝演算法 (結尾為 KW，A128GCMKW、A192GCMKW 和 A256GCMKW 除外) 且encrypted_key 欄位為空白。當 key_wrap.go 中的 cipher.KeyUnwrap() 嘗試根據encrypted_key 的長度配置零長度或負長度的 slice 時，會發生不穩定的情況。此程式碼路徑可從 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() 存取，接著是結果物件上的 Decrypt()。請注意，parse 函式採用已接受金鑰演算法的清單。如果接受的金鑰演算法不包含任何金鑰包裝演算法，則剖析將會失敗，且應用程式不受影響。使用長度少於 16 位元組的任何加密文字參數直接呼叫 cipher.KeyUnwrap() 也會導致此錯誤，但直接呼叫此函式的情況較不常見。錯誤可導致拒絕服務。此弱點已在 4.1.4 和 3.0.5 中修正。(CVE-2026-34986)

    Sigstore Timestamp Authority 是一種發出 RFC 3161 時間戳記的服務。 2.0.5 版及更舊版本的 VerifyTimestampResponse 函式中有一個授權繞過弱點。
    VerifyTimestampResponse 可正確驗證憑證鏈簽章，但 VerifyLeafCert 中的 TSA 特定限制檢查會使用 PKCS#7 憑證包中的第一個非 CA 憑證，而非來自已驗證鏈結的分葉憑證。攻擊者可惡意利用此弱點，在以授權金鑰簽署訊息時，在憑證包前面附加偽造的憑證，造成程式庫針對一個憑證驗證簽章，但針對另一個憑證執行授權檢查。此弱點只會影響時間戳記-authority/v2/pkg/verification 套件的使用者，不會影響時間戳記-authority 服務本身或 sigstore-go。2.0.6 版已修正此問題。(CVE-2026-39984)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-1605 公告中所提及的多個弱點影響。

    未正確檢查迴圈中的算術過度匯總變數是否有 Go 編譯器 (cmd/complie) 反向溢位或溢位。因此，編譯器會允許在運行時發生無效索引，可能導致使用受影響 Go 版本編譯的程式發生記憶體破壞。(CVE-2026-27143)

    Go 編譯器 (cmd/compile) 未正確處理 no-op 介面轉換，導致無法正確判斷非重疊記憶體移動，可能導致以受影響的 Go 版本編譯的程式在運行時間發生記憶體損毀。 (CVE-2026-27144)

    在鏈結構建期間，當在 VerifyOptions.Intermediates 中傳遞大量中繼憑證時，未正確限制已完成的工作量，這可導致拒絕服務。這會影響 crypto/x509 的直接使用者和 crypto/tls 的使用者。 (CVE-2026-32280)

    當憑證鏈中的憑證含有大量原則對應時，驗證使用原則的憑證鏈會意外低效，進而可能造成拒絕服務。這只會影響對其他受信任憑證鏈結的驗證，這些憑證鍊是由 VerifyOptions.Roots CertPool 中或系統憑證集區中的 root CA 所發出。 (CVE-2026-32281)

    在 Linux 上，當 chmod 作業進行中時，若以符號連結取代 Root.Chmod 的目標，則 Chmod 可在符號連結目標上執行，即使目標位於 root 之外也是如此。
    (CVE-2026-32282)

    如果 TLS 連線的一端在單一記錄中傳送多個交握後金鑰更新訊息，連線可能會鎖死，造成資源消耗不受控制。這可導致拒絕服務。這只會影響 TLS 1.3。 (CVE-2026-32283)

    讀取惡意特製的封存 (其中含有大量以舊版 GNU 疏鬆對應格式編碼的疏鬆區域) 時，tar.Reader 會配置無限量的記憶體。 (CVE-2026-32288)

    未正確跨 JS 範本常值的範本分支追踪內容，可能導致不正確的內容逸出。這可造成 JS 範本常值內的動作錯誤逸出，進而導致 XSS 弱點。 (CVE-2026-32289)

    Go JOSE 提供了 JavaScript Object Signing and Encryption 標準集的 Go 語言實現，其中包括對 JSON Web Encryption (JWE)、JSON Web Signature (JWS) 以及 JSON Web Token (JWT) 標準的支援。在 4.1.4 和 3.0.5 之前的版本中，如果 alg 欄位指示金鑰包裝演算法 (結尾為 KW，A128GCMKW、A192GCMKW 和 A256GCMKW 除外) 且encrypted_key 欄位為空白。當 key_wrap.go 中的 cipher.KeyUnwrap() 嘗試根據encrypted_key 的長度配置零長度或負長度的 slice 時，會發生不穩定的情況。此程式碼路徑可從 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() 存取，接著是結果物件上的 Decrypt()。請注意，parse 函式採用已接受金鑰演算法的清單。如果接受的金鑰演算法不包含任何金鑰包裝演算法，則剖析將會失敗，且應用程式不受影響。使用長度少於 16 位元組的任何加密文字參數直接呼叫 cipher.KeyUnwrap() 也會導致此錯誤，但直接呼叫此函式的情況較不常見。錯誤可導致拒絕服務。此弱點已在 4.1.4 和 3.0.5 中修正。(CVE-2026-34986)

    Sigstore Timestamp Authority 是一種發出 RFC 3161 時間戳記的服務。 2.0.5 版及更舊版本的 VerifyTimestampResponse 函式中有一個授權繞過弱點。
    VerifyTimestampResponse 可正確驗證憑證鏈簽章，但 VerifyLeafCert 中的 TSA 特定限制檢查會使用 PKCS#7 憑證包中的第一個非 CA 憑證，而非來自已驗證鏈結的分葉憑證。攻擊者可惡意利用此弱點，在以授權金鑰簽署訊息時，在憑證包前面附加偽造的憑證，造成程式庫針對一個憑證驗證簽章，但針對另一個憑證執行授權檢查。此弱點只會影響時間戳記-authority/v2/pkg/verification 套件的使用者，不會影響時間戳記-authority 服務本身或 sigstore-go。2.0.6 版已修正此問題。(CVE-2026-39984)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Sigstore Timestamp Authority 是一项用于颁发 RFC 3161 时间戳的服务。 2.0.5 版和更低版本在 VerifyTimestampResponse 函数中包含一个授权绕过漏洞。
    VerifyTimestampResponse 正确验证了证书链签名但 VerifyLeafCert 中的 TSA 特定限制检查使用了 PKCS#7 证书包中的第一个非 CA 证书而不是已验证链中的叶证书。攻击者可以通过在使用经授权的密钥对消息进行签名时将伪造的证书预加到证书包中来利用此漏洞从而导致库针对一个证书验证签名但针对另一个证书执行授权检查。此漏洞仅影响timestamp-authority/v2/pkg/verification 程序包的用户不影响timestamp-authority 服务本身或 sigstore-go。版本 2.0.6中已修复该问题。 (CVE-2026-39984)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 nerdctl 版本低于 2.2.2-1。因此，该软件受到 ALAS2-2026-3265 公告中提及的多个漏洞影响。

    未正确检查循环中归纳变量上的演算是否存在 Go 编译器 (cmd/complie) 下溢或溢出。因此，编译器会允许在运行时发生无效索引访问，使用受影响的 Go 版本编译的程序可能会出现内存损坏问题。(CVE-2026-27143)

    Go 编译器 (cmd/compile) 对无操作接口类型转换处理存在错误，导致无法正确判定无重叠内存拷贝场景，使用受影响版本编译的程序，运行时可能发生内存损坏。 (CVE-2026-27144)

    在链构建期间，当 VerifyOptions.Intermediates 中传递大量中间证书时，不会正确限制已完成的工作量，这可导致拒绝服务。这会影响 crypto/x509 的直接用户和 crypto/tls 的用户。 (CVE-2026-32280)

    在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

    在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。 
    (CVE-2026-32282)

    如果 TLS 连接的一端在单个记录中发送握手后多条密钥更新消息，连接可能会死锁，从而导致不受控制的资源消耗。这可导致拒绝服务。这仅影响 TLS 1.3。 (CVE-2026-32283)

    tar.Reader 在读取包含大量以旧 GNU 稀疏映射格式编码的稀疏区域的恶意构建存档时，可分配不受限制的内存量。 (CVE-2026-32288)

    在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

    Go JOSE 在 Go 中提供 Javascript 对象签名和加密标准集的实现，其中包括对 JSON Web Encryption (JWE)、JSON Web Signature (JWS) 和 JSON Web Token (JWT) 标准的支持。在 4.1.4 和 3.0.5 之前的版本中，解密JSON Web 加密（JWE）对象时，如果 alg 字段指定了密钥包装算法（以 KW 结尾、且排除 A128GCMKW、A192GCMKW、A256GCMKW 的算法），同时 encrypted_key 字段为空，程序会直接崩溃（panic）。当 key_wrap.go 中的 cipher.KeyUnwrap() 尝试根据 encrypted_key 的长度分配零长度或负长度的片时，会发生错误。可在生成的对象上从 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact()，然后是 Decrypt() 访问此代码路径。请注意，解析函数采用可接受的密钥算法列表。如果接受的密钥算法不包含任何密钥包装算法，解析将失败，应用程序不会受到影响。通过使用长度小于 16 字节的任何密码文本参数直接调用 cipher.KeyUnwrap() 也可导致此错误，但直接调用此函数的情况比较少见。错误可导致拒绝服务。此漏洞已在 4.1.4 和 3.0.5 中修复。(CVE-2026-34986)

    Sigstore Timestamp Authority 是用于颁发 RFC 3161 时间戳的服务。版本 2.0.5 及更低版本在 VerifyTimestampResponse 函数中包含一个授权绕过漏洞。
    VerifyTimestampResponse 正确地验证证书链签名，但 VerifyLeafCert 中的 TSA 特定限制检查使用 PKCS#7 证书包中的第一个非 CA 证书，而不是已验证的链的叶证书。攻击者可利用此漏洞，在消息使用授权密钥签名时，向证书包前置一个伪造证书，导致库使用一个证书验证签名，却使用另一个证书执行授权检查。此漏洞只会影响 timestamp-authority/v2/pkg/verification 程序包的用户，不会影响 timestamp-authority 服务本身或 sigstore-go。此问题已在 2.0.6 版本中修复。(CVE-2026-39984)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1605 公告中提及的多个漏洞影响。

    未正确检查循环中归纳变量上的演算是否存在 Go 编译器 (cmd/complie) 下溢或溢出。因此，编译器会允许在运行时发生无效索引访问，使用受影响的 Go 版本编译的程序可能会出现内存损坏问题。(CVE-2026-27143)

    Go 编译器 (cmd/compile) 对无操作接口类型转换处理存在错误，导致无法正确判定无重叠内存拷贝场景，使用受影响版本编译的程序，运行时可能发生内存损坏。 (CVE-2026-27144)

    在链构建期间，当 VerifyOptions.Intermediates 中传递大量中间证书时，不会正确限制已完成的工作量，这可导致拒绝服务。这会影响 crypto/x509 的直接用户和 crypto/tls 的用户。 (CVE-2026-32280)

    在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

    在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。 
    (CVE-2026-32282)

    如果 TLS 连接的一端在单个记录中发送握手后多条密钥更新消息，连接可能会死锁，从而导致不受控制的资源消耗。这可导致拒绝服务。这仅影响 TLS 1.3。 (CVE-2026-32283)

    tar.Reader 在读取包含大量以旧 GNU 稀疏映射格式编码的稀疏区域的恶意构建存档时，可分配不受限制的内存量。 (CVE-2026-32288)

    在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

    Go JOSE 在 Go 中提供 Javascript 对象签名和加密标准集的实现，其中包括对 JSON Web Encryption (JWE)、JSON Web Signature (JWS) 和 JSON Web Token (JWT) 标准的支持。在 4.1.4 和 3.0.5 之前的版本中，解密JSON Web 加密（JWE）对象时，如果 alg 字段指定了密钥包装算法（以 KW 结尾、且排除 A128GCMKW、A192GCMKW、A256GCMKW 的算法），同时 encrypted_key 字段为空，程序会直接崩溃（panic）。当 key_wrap.go 中的 cipher.KeyUnwrap() 尝试根据 encrypted_key 的长度分配零长度或负长度的片时，会发生错误。可在生成的对象上从 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact()，然后是 Decrypt() 访问此代码路径。请注意，解析函数采用可接受的密钥算法列表。如果接受的密钥算法不包含任何密钥包装算法，解析将失败，应用程序不会受到影响。通过使用长度小于 16 字节的任何密码文本参数直接调用 cipher.KeyUnwrap() 也可导致此错误，但直接调用此函数的情况比较少见。错误可导致拒绝服务。此漏洞已在 4.1.4 和 3.0.5 中修复。(CVE-2026-34986)

    Sigstore Timestamp Authority 是用于颁发 RFC 3161 时间戳的服务。版本 2.0.5 及更低版本在 VerifyTimestampResponse 函数中包含一个授权绕过漏洞。
    VerifyTimestampResponse 正确地验证证书链签名，但 VerifyLeafCert 中的 TSA 特定限制检查使用 PKCS#7 证书包中的第一个非 CA 证书，而不是已验证的链的叶证书。攻击者可利用此漏洞，在消息使用授权密钥签名时，向证书包前置一个伪造证书，导致库使用一个证书验证签名，却使用另一个证书执行授权检查。此漏洞只会影响 timestamp-authority/v2/pkg/verification 程序包的用户，不会影响 timestamp-authority 服务本身或 sigstore-go。此问题已在 2.0.6 版本中修复。(CVE-2026-39984)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Fedora 44 ホストには、FEDORA-2026-5df889949e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2.92.0に更新し、テレメトリー送信オプトインを作成します。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Sigstore Timestamp Authority は、RFC 3161 タイムスタンプを発行するサービスです。バージョン 2.0.5 およびそれ以前では、VerifyTimestampResponse 関数に承認バイパスの脆弱性が含まれています。
    VerifyTimestampResponse は証明書チェーン署名を正しく検証しますが、VerifyLeafCert の TSA 固有の制約チェックでは、検証されたチェーンからのリーフ証明書の代わりに、 PKCS#7 証明書バグからの最初の非 CA 証明書が使用されます。攻撃者が、メッセージが承認された鍵で署名されている間に、偽造の証明書を証明書バッグに渡すことでこれを悪用し、ライブラリにある証明書に対して署名を検証させ、別の証明書に対しては承認チェックを実行させる可能性があります。この脆弱性は、timestamp-authority/v2/pkg/verification パッケージのユーザーにのみ影響を与え、timestamp-authority サービス自体または sigstore-go には影響を与えません。この問題は、バージョン 2.0.6で修正されています。CVE-2026-39984

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている nerdctl のバージョンは、2.2.2-1 より前です。したがって、ALAS2-2026-3265 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ループ内の誘導変数に対する算術演算が、Go compiler (cmd/compile) のアンダーフローやオーバーフローに関して適切にチェックされていませんでした。その結果、コンパイラは実行時に無効なインデックスアクセスを許可し、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、メモリ破損を引き起こす可能性がありました。(CVE-2026-27143)

    Go compiler (cmd/compile) が、no-op インターフェース変換を不適切に処理し、重複しないメモリ移動に関する正しい決定を妨げ、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、ランタイム時にメモリ破損を引き起こす可能性があります。(CVE-2026-27144)

    チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

    ポリシーを使用する証明書チェーンの検証は、チェーン内の証明書に非常に多くのポリシーマッピングが含まれている場合、予想外に非効率的であり、サービス拒否を引き起こす可能性があります。これは、VerifyOptions.Roots CertPool 内の root CA によって発行される、またはシステム証明書プール内の root CA によって発行される、他の方法で信頼できる証明書チェーンの検証のみに影響します。(CVE-2026-32281)

    Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
    (CVE-2026-32282)

    TLS 接続の一方の側が、単一のレコードでのハンドシェイク後に複数のキー更新メッセージを送信する場合、接続がデッドロックし、制御されないリソース消費が発生する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。これは TLS 1.3 のみに影響します。(CVE-2026-32283)

    tar.Reader は、古い GNU スパースマップフォーマットでエンコードされた多数のスパース領域を含む悪意のある細工されたアーカイブを読み取る際に、無制限の量のメモリを割り当てる可能性があります。(CVE-2026-32288)

    JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

    Go JOSE は、JSON Web Encryption (JWE)、JSON Web Signature (JWS)、JSON Web Token (JWT) 標準のサポートを含む、Go の標準である Javascript Object Signing および Encryption の一連の実装を提供します。4.1.4 および 3.0.5 より前では、JSON Web Encryption (JWE) オブジェクトの復号化を行う際、alg フィールドがキーラッピングアルゴリズム (A128GCMKW、A192GCMKW、および A256GCMKW を除く、末尾が KW で終わるもの) を示しており、かつ encrypted_key フィールドが空の場合、パニックが発生します。key_wrap.go の cipher.KeyUnwrap() が encrypted_key の長さに基づいて、ゼロまたは負の長さのスライスを割り当てようとする際にパニックが発生します。このコードパスは、ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() から到達可能で、結果として生成されるオブジェクトで Decrypt() が続きます。解析関数は、受け入れられたキーアルゴリズムのリストを取得することに注意してください。受け入れられたキーアルゴリズムにキーラッピングアルゴリズムが含まれていない場合、解析は失敗し、アプリケーションは影響を受けません。このパニックは、16 バイト長さ未満の暗号文パラメーターで cipher.KeyUnwrap() を直接呼び出すことでも可能ですが、この関数を直接呼び出すことはあまりありません。パニックはサービス拒否につながる可能性があります。この脆弱性は、4.1.4 および 3.0.5 で修正されています。(CVE-2026-34986)

    Sigstore Timestamp Authority は、RFC 3161 タイムスタンプを発行するサービスです。バージョン 2.0.5 以前では、VerifyTimestampResponse 関数に承認バイパスの脆弱性が含まれています。
    VerifyTimestampResponse は証明書チェーン署名を正しく検証しますが、VerifyLeafCert の TSA 固有の制約チェックでは、検証されたチェーンからのリーフ証明書の代わりに、PKCS#7 証明書バグからの最初の非 CA 証明書が使用されます。攻撃者が、メッセージが承認された鍵で署名されている間に、偽造の証明書を証明書バッグに渡すことでこれを悪用し、ライブラリにある証明書に対して署名を検証させ、別の証明書に対しては承認チェックを実行させる可能性があります。この脆弱性は、timestamp-authority/v2/pkg/verification パッケージのユーザーにのみ影響を与え、timestamp-authority サービス自体または sigstore-go には影響を与えません。この問題はバージョン 2.0.6 で修正されています。(CVE-2026-39984)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1605 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ループ内の誘導変数に対する算術演算が、Go compiler (cmd/compile) のアンダーフローやオーバーフローに関して適切にチェックされていませんでした。その結果、コンパイラは実行時に無効なインデックスアクセスを許可し、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、メモリ破損を引き起こす可能性がありました。(CVE-2026-27143)

    Go compiler (cmd/compile) が、no-op インターフェース変換を不適切に処理し、重複しないメモリ移動に関する正しい決定を妨げ、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、ランタイム時にメモリ破損を引き起こす可能性があります。(CVE-2026-27144)

    チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

    ポリシーを使用する証明書チェーンの検証は、チェーン内の証明書に非常に多くのポリシーマッピングが含まれている場合、予想外に非効率的であり、サービス拒否を引き起こす可能性があります。これは、VerifyOptions.Roots CertPool 内の root CA によって発行される、またはシステム証明書プール内の root CA によって発行される、他の方法で信頼できる証明書チェーンの検証のみに影響します。(CVE-2026-32281)

    Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
    (CVE-2026-32282)

    TLS 接続の一方の側が、単一のレコードでのハンドシェイク後に複数のキー更新メッセージを送信する場合、接続がデッドロックし、制御されないリソース消費が発生する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。これは TLS 1.3 のみに影響します。(CVE-2026-32283)

    tar.Reader は、古い GNU スパースマップフォーマットでエンコードされた多数のスパース領域を含む悪意のある細工されたアーカイブを読み取る際に、無制限の量のメモリを割り当てる可能性があります。(CVE-2026-32288)

    JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

    Go JOSE は、JSON Web Encryption (JWE)、JSON Web Signature (JWS)、JSON Web Token (JWT) 標準のサポートを含む、Go の標準である Javascript Object Signing および Encryption の一連の実装を提供します。4.1.4 および 3.0.5 より前では、JSON Web Encryption (JWE) オブジェクトの復号化を行う際、alg フィールドがキーラッピングアルゴリズム (A128GCMKW、A192GCMKW、および A256GCMKW を除く、末尾が KW で終わるもの) を示しており、かつ encrypted_key フィールドが空の場合、パニックが発生します。key_wrap.go の cipher.KeyUnwrap() が encrypted_key の長さに基づいて、ゼロまたは負の長さのスライスを割り当てようとする際にパニックが発生します。このコードパスは、ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() から到達可能で、結果として生成されるオブジェクトで Decrypt() が続きます。解析関数は、受け入れられたキーアルゴリズムのリストを取得することに注意してください。受け入れられたキーアルゴリズムにキーラッピングアルゴリズムが含まれていない場合、解析は失敗し、アプリケーションは影響を受けません。このパニックは、16 バイト長さ未満の暗号文パラメーターで cipher.KeyUnwrap() を直接呼び出すことでも可能ですが、この関数を直接呼び出すことはあまりありません。パニックはサービス拒否につながる可能性があります。この脆弱性は、4.1.4 および 3.0.5 で修正されています。(CVE-2026-34986)

    Sigstore Timestamp Authority は、RFC 3161 タイムスタンプを発行するサービスです。バージョン 2.0.5 以前では、VerifyTimestampResponse 関数に承認バイパスの脆弱性が含まれています。
    VerifyTimestampResponse は証明書チェーン署名を正しく検証しますが、VerifyLeafCert の TSA 固有の制約チェックでは、検証されたチェーンからのリーフ証明書の代わりに、PKCS#7 証明書バグからの最初の非 CA 証明書が使用されます。攻撃者が、メッセージが承認された鍵で署名されている間に、偽造の証明書を証明書バッグに渡すことでこれを悪用し、ライブラリにある証明書に対して署名を検証させ、別の証明書に対しては承認チェックを実行させる可能性があります。この脆弱性は、timestamp-authority/v2/pkg/verification パッケージのユーザーにのみ影響を与え、timestamp-authority サービス自体または sigstore-go には影響を与えません。この問題はバージョン 2.0.6 で修正されています。(CVE-2026-39984)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20702-1 アドバイザリで言及されています。

    trivy の変更:

    バージョン 0.70.0 に更新してください (bsc#1260193、CVE-2026-33186、bsc#1260971、CVE-2026-33747、bsc#1261052、CVE-2026-33748、bsc#1262389、CVE-2026-39984、bsc#1262893、CVE-2026-34986)。
      * release: v0.70.0 [main] (#10105)
      * chore(deps): go.opentelemetry.io/otel/sdk を 1.42.0 から 1.43.0 へ更新 (#10496)
      * chore(deps): github.com/sigstore/timestamp-authority/v2 を 2.0.3 から 2.0.6 へ更新 (#10526)
      * chore(deps): 8 つの更新を含む 1 つのディレクトリに共通グループを更新します (#10540)
      * chore(deps): 2 つの更新を含む 1 つのディレクトリに docker グループを更新します (#10538)
      * fix: GoReleaser ディスカッションで開発カテゴリを使用 (#10530)
      * chore(deps): testcontainers-go を v0.42.0 に更新します (#10531)
      * chore: CODEOWNERS を更新 (#10529)
      * chore(deps): helm.sh/helm/v3 を 3.20.1 から 3.20.2 に更新します (#10511)
      * chore(deps): github.com/hashicorp/go-getter を 1.8.5 から 1.8.6 へ更新します (#10510)
      * chore(deps): github.com/moby/buildkit を 0.27.1 から 0.28.1 に更新します (#10449)
      * ci: mkdocs-material-insiders から mkdocs-material へ移行します (#10509)
      * chore: GoReleaser から aquasecurity/homebrew-trivy タップを削除します (#10508)
      * ci: GitHub API と相互作用するワークフローのランナーを更新します (#10502)
      * ci: トークンの名前を変更し、ランナーを更新します (#10500)
      * ci: helm-charts ワークフローを介して helm チャートの公開をトリガーします (#10474)
      * ci: release-please ワークフローからルールセット更新ステップを削除します (#10499)
      * ci: 大きなランナーを使用し、release-please ワークフローで ORG_REPO_TOKEN を置き換えます (#10498)
      * ci: trivy-repo ワークフローを介して rpm/deb デプロイメントをトリガーします (#10476)
      * 修正: wazero モジュールの設定から os.Stdout を削除 (#10403)
      * chore(deps): 22 個の更新を含む 1 つのディレクトリに共通グループを更新します (#10408)
      * chore(deps): google.golang.org/grpc を 1.78.0 から 1.79.3 に更新 (#10407)
      * fix(flag): テンプレートファイル拡張子を検証 (#10296)
      * fix(sbom): レイヤー情報なしで SBOM をスキャンするときに Red Hat BuildInfo を保存します (#10378)
      * fix: Go 1.26 GOEXPERIMENT バージョン形式変更を処理します (#10351)
      * fix(python): requirements.txt の複数のバージョン指定子を処理します (#10361)
      * ci:trivy-action で Trivy バージョン更新を実行します (#10272)
      * fix(python): 依存関係のないオプションの poetry グループによる nil ポインターデリファレンス (#10359)
      * ci: ワークフローで個人のメールを github-actions[bot] で置き換えます (#10369)
      * chore: smithy epoch 解析を stdlib time.Unix で置き換えます (#10286)
      * test: purl 変更のゴールデンファイルを更新 (#10372)
      * ci: スキャン GitHub アクションワークフローに zizmor を追加 (#10322)
      * refactor: ステータスを文字列としてログ (#10285)
      * ci: リリースアーティファクトのビルド来歴証明を追加します (#10316)
      * fix(sbom): SPDX 非ライブラリパッケージの licenseDeclared/licenseConcluded に対する NOASSERTION を追加 (#10368)
      * fix(report): git リポジトリをスキャンする際に正しい sarif ROOTPATH uri を設定します (#10366)
      * perf(plugin): filepath.Walk を filepath.WalkDir に置き換えることでディレクトリトラバーサルを最適化します (#10325)
      * docs: 変更ログおよび図での誤字を修正 (#10320)
      * chore: ロードマップ wf を削除 (#10295)
      * ci(helm): Trivy Helm Chart 0.21.3 に対して、Trivy バージョンを 0.69.3 に更新します (#10310)
      * fix(cyclonedx): CVSS v4 脆弱性格付けを含めます (#10313)
      * fix: azure および mariner detector で検出された脆弱性フィールド (#10275)
      * ci: persist-credentials: false をチェックアウト手順に追加 (#10306)
      * ci(helm): Trivy Helm Chart 0.21.2 に対して、Trivy バージョンを 0.69.2 に更新します (#10270)
      * chore(deps): 8 つの更新を含む 1 つのディレクトリに共通グループを更新します (#10248)
      * chore(deps): go.opentelemetry.io/otel/sdk を 1.39.0 から 1.40.0 へ更新 (#10257)
      * chore(deps): 6 つの更新を含む 1 つのディレクトリに aws グループを更新します (#10249)
      * chore(deps): github.com/cloudflare/circl を 1.6.1 から 1.6.3 に更新します (#10241)
      * ci: apidiff ワークフローを削除 (#10259)
      * chore(deps): 1 つのディレクトリにまたがる docker グループで、github.com/docker/cli を 29.1.4+incompatible から 29.2.1+incompatible に更新します (#10221)
      * ci: cache-test-assets で golangci-lint を v2.10 に更新 (#10243)
      * feat(java): Maven settings.xml からプロキシ設定のサポートを追加します (#10187)
      * chore(deps): 11 個の更新を含む 3 つのディレクトリに github-actions グループを更新します (#10242)
      * feat(python): pylock.toml サポートを追加します (#10137)
      * chore: SPDX ライセンス ID と例外を「v3.28.0」に更新します (#10233)
      * docs: 誤字を修正し、安全でない HTTP リンクを HTTPS にアップグレードします (#10219)
      * chore: golangci-lint を v2.10.0 に更新します (#10223)
      * feat(misconf): azurerm_network_interface_security_group_association のサポート (#10215)
      * ci: 統合テストのために Docker エンジンを v29 に固定します (#10232)
      * feat(go): -trimpath で構築されたバイナリに対して、ELF シンボルテーブルからバージョンを検出します (#10197)
      * docs: プライベートレジストリのドキュメントを GCR から GAR に移行します (#10208)
      * chore(deps): 24 個の更新を含む 1 つのディレクトリに共通グループを更新します (#10206)
      * chore(deps): Docker クライアント SDK を v29 に更新します (#10202)
      * test: Docker API v0.29.0+ 互換性のための Docker エンジン統合テストを更新します (#10199)
      * fix(misconf): カスタム注釈フィールドが空の場合は初期化 (#10123)
      * feat(ubuntu): 25.10 の EOL データを追加します (#10181)
      * docs: Python パッケージマネージャーの不適切なカウントを修正します (#10175)
      * chore(deps): github.com/go-git/go-git/v5 を 5.16.4 から 5.16.5 に更新します (#10179)
      * feat(misconf): resource_id による Azure リソースの解決 (#10173)
      * ci(helm): Trivy Helm Chart 0.21.1 に対して、Trivy バージョンを 0.69.1 に更新します (#10155)
      * refactor: ServiceOption から未使用の Insecure フィールドを削除 (#10113)
      * refactor: detect.go における初期化の複雑さを軽減 (#10163)
      * feat(misconf): ARM k8s クラスターを適合させます (#9696) (#10125)
      * docs:クライアント/サーバードキュメントのバージョンエンドポイント例を更新 (#10151)
      * feat(vuln): 共通の検出機能でサードパーティパッケージをスキップします (#10129)
      * ci: Go セットアップ用に複合アクションを追加 (#10146)
      * fix(misconf): .trivyignore から結果をフィルタリングする際にチェックエイリアスを適用します (#10112)
      * docs(terraform): データソースと計算リソース属性の制限を追加します (#10128)
      * fix: PhotonOS フィード URL を更新します (#10122)
      * feat(server): クライアント/サーバーモード用の JSON 出力にサーバーのバージョン情報を含めます (#10075)
      * chore(deps): alpine:3.23.3 および go-1.25.6 に更新して CVE を修正します (#10107)
      * refactor: スキャナーエラー制限とコンパイラ制限を統一 (#10106)
      * ci(helm): Trivy Helm Chart 0.21.0 に対して、Trivy バージョンを 0.69.0 に更新します (#10103)
      * fix(java): 上書き除外を無効にします (#10088)
      * refactor(rust): cargo analyzer テストデータに txtar 形式を使用します (#10104)
      * feat(python): pylock.toml (PEP 751) 解析を追加します (#9632)
      * chore(deps): 6 つの更新を含む 1 つのディレクトリに aws グループを更新します (#10068)
      * fix(server): /version エンドポイントから JavaDB および CheckBundle を除外します (#10100)

    - バージョン 0.69.3 (CVE-2026-25934、bsc#1258094) に更新してください:
      * release: v0.69.3 [release/v0.69] (#10293)
      * fix(deps): github.com/go-git/go-git/v5 を 5.16.4 から 5.16.5 に更新します [backport: release/v0.69] (#10291)
      * release: v0.69.2 [release/v0.69] (#10266)
      * fix(deps): go.opentelemetry.io/otel/sdk を 1.39.0 から 1.40.0 へ更新 [backport: release/v0.69] (#10267)
      * fix(deps): github.com/cloudflare/circl を 1.6.1 から 1.6.3 に更新します [backport: release/v0.69] (#10264)
      * ci: apidiff ワークフローを削除
      * release: v0.69.1 [release/v0.69] (#10145)
      * ci: Go セットアップ用に複合アクションを追加 [backport: release/v0.69] (#10150)
      * fix(misconf): .trivyignore から結果をフィルタリングする際にチェックエイリアスを適用します [backport: release/v0.69] (#10143)
      * chore(deps): alpine:3.23.3 および go-1.25.6 に更新して CVE を修正します [backport: release/v0.69] (#10135)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Versions 2.0.5 and below     contain an authorization bypass vulnerability in the VerifyTimestampResponse function.
    VerifyTimestampResponse correctly verifies the certificate chain signature, but the TSA-specific     constraint checks in VerifyLeafCert uses the first non-CA certificate from the PKCS#7 certificate bag     instead of the leaf certificate from the verified chain. An attacker can exploit this by prepending a     forged certificate to the certificate bag while the message is signed with an authorized key, causing the     library to validate the signature against one certificate but perform authorization checks against     another. This vulnerability only affects users of the timestamp-authority/v2/pkg/verification package and     does not affect the timestamp-authority service itself or sigstore-go. The issue has been fixed in version     2.0.6. (CVE-2026-39984)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of nerdctl installed on the remote host is prior to 2.2.2-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2026-3265 advisory.

    Arithmetic over induction variables in loops were not correctly checked for underflow or overflow in the     Go compiler (cmd/compile). As a result, the compiler would allow for invalid indexing to occur at runtime,     potentially leading to memory corruption in programs compiled with affected Go versions. (CVE-2026-27143)

    The Go compiler (cmd/compile) incorrectly handled no-op interface conversions, preventing correct     determination about non-overlapping memory moves, potentially leading to memory corruption at runtime in     programs compiled with affected Go versions. (CVE-2026-27144)

    During chain building, the amount of work that is done is not correctly limited when a large number of     intermediate certificates are passed in VerifyOptions.Intermediates, which can lead to a denial of     service. This affects both direct users of crypto/x509 and users of crypto/tls. (CVE-2026-32280)

    Validating certificate chains which use policies is unexpectedly inefficient when certificates in the     chain contain a very large number of policy mappings, possibly causing denial of service. This only     affects validation of otherwise trusted certificate chains, issued by a root CA in the VerifyOptions.Roots     CertPool, or in the system certificate pool. (CVE-2026-32281)

    On Linux, if the target of Root.Chmod is replaced with a symlink while the chmod operation is in progress,     Chmod can operate on the target of the symlink, even when the target lies outside the root.
    (CVE-2026-32282)

    If one side of the TLS connection sends multiple key update messages post-handshake in a single record,     the connection can deadlock, causing uncontrolled consumption of resources. This can lead to a denial of     service. This only affects TLS 1.3. (CVE-2026-32283)

    tar.Reader can allocate an unbounded amount of memory when reading a maliciously-crafted archive     containing a large number of sparse regions encoded in the old GNU sparse map format. (CVE-2026-32288)

    Context was not properly tracked across template branches for JS template literals, leading to possibly     incorrect escaping of content. This could cause actions within JS template literals to be incorrectly     escaped, leading to XSS vulnerabilities. (CVE-2026-32289)

    Go JOSE provides an implementation of the Javascript Object Signing and Encryption set of standards in Go,     including support for JSON Web Encryption (JWE), JSON Web Signature (JWS), and JSON Web Token (JWT)     standards. Prior to 4.1.4 and 3.0.5, decrypting a JSON Web Encryption (JWE) object will panic if the alg     field indicates a key wrapping algorithm (one ending in KW, with the exception of A128GCMKW, A192GCMKW,     and A256GCMKW) and the encrypted_key field is empty. The panic happens when cipher.KeyUnwrap() in     key_wrap.go attempts to allocate a slice with a zero or negative length based on the length of the     encrypted_key. This code path is reachable from ParseEncrypted() / ParseEncryptedJSON() /     ParseEncryptedCompact() followed by Decrypt() on the resulting object. Note that the parse functions take     a list of accepted key algorithms. If the accepted key algorithms do not include any key wrapping     algorithms, parsing will fail and the application will be unaffected. This panic is also reachable by     calling cipher.KeyUnwrap() directly with any ciphertext parameter less than 16 bytes long, but calling     this function directly is less common. Panics can lead to denial of service. This vulnerability is fixed     in 4.1.4 and 3.0.5. (CVE-2026-34986)

    Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Versions 2.0.5 and below     contain an authorization bypass vulnerability in the VerifyTimestampResponse function.
    VerifyTimestampResponse correctly verifies the certificate chain signature, but the TSA-specific     constraint checks in VerifyLeafCert uses the first non-CA certificate from the PKCS#7 certificate bag     instead of the leaf certificate from the verified chain. An attacker can exploit this by prepending a     forged certificate to the certificate bag while the message is signed with an authorized key, causing the     library to validate the signature against one certificate but perform authorization checks against     another. This vulnerability only affects users of the timestamp-authority/v2/pkg/verification package and     does not affect the timestamp-authority service itself or sigstore-go. The issue has been fixed in version     2.0.6. (CVE-2026-39984)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-1605 advisory.

    Arithmetic over induction variables in loops were not correctly checked for underflow or overflow in the     Go compiler (cmd/compile). As a result, the compiler would allow for invalid indexing to occur at runtime,     potentially leading to memory corruption in programs compiled with affected Go versions. (CVE-2026-27143)

    The Go compiler (cmd/compile) incorrectly handled no-op interface conversions, preventing correct     determination about non-overlapping memory moves, potentially leading to memory corruption at runtime in     programs compiled with affected Go versions. (CVE-2026-27144)

    During chain building, the amount of work that is done is not correctly limited when a large number of     intermediate certificates are passed in VerifyOptions.Intermediates, which can lead to a denial of     service. This affects both direct users of crypto/x509 and users of crypto/tls. (CVE-2026-32280)

    Validating certificate chains which use policies is unexpectedly inefficient when certificates in the     chain contain a very large number of policy mappings, possibly causing denial of service. This only     affects validation of otherwise trusted certificate chains, issued by a root CA in the VerifyOptions.Roots     CertPool, or in the system certificate pool. (CVE-2026-32281)

    On Linux, if the target of Root.Chmod is replaced with a symlink while the chmod operation is in progress,     Chmod can operate on the target of the symlink, even when the target lies outside the root.
    (CVE-2026-32282)

    If one side of the TLS connection sends multiple key update messages post-handshake in a single record,     the connection can deadlock, causing uncontrolled consumption of resources. This can lead to a denial of     service. This only affects TLS 1.3. (CVE-2026-32283)

    tar.Reader can allocate an unbounded amount of memory when reading a maliciously-crafted archive     containing a large number of sparse regions encoded in the old GNU sparse map format. (CVE-2026-32288)

    Context was not properly tracked across template branches for JS template literals, leading to possibly     incorrect escaping of content. This could cause actions within JS template literals to be incorrectly     escaped, leading to XSS vulnerabilities. (CVE-2026-32289)

    Go JOSE provides an implementation of the Javascript Object Signing and Encryption set of standards in Go,     including support for JSON Web Encryption (JWE), JSON Web Signature (JWS), and JSON Web Token (JWT)     standards. Prior to 4.1.4 and 3.0.5, decrypting a JSON Web Encryption (JWE) object will panic if the alg     field indicates a key wrapping algorithm (one ending in KW, with the exception of A128GCMKW, A192GCMKW,     and A256GCMKW) and the encrypted_key field is empty. The panic happens when cipher.KeyUnwrap() in     key_wrap.go attempts to allocate a slice with a zero or negative length based on the length of the     encrypted_key. This code path is reachable from ParseEncrypted() / ParseEncryptedJSON() /     ParseEncryptedCompact() followed by Decrypt() on the resulting object. Note that the parse functions take     a list of accepted key algorithms. If the accepted key algorithms do not include any key wrapping     algorithms, parsing will fail and the application will be unaffected. This panic is also reachable by     calling cipher.KeyUnwrap() directly with any ciphertext parameter less than 16 bytes long, but calling     this function directly is less common. Panics can lead to denial of service. This vulnerability is fixed     in 4.1.4 and 3.0.5. (CVE-2026-34986)

    Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Versions 2.0.5 and below     contain an authorization bypass vulnerability in the VerifyTimestampResponse function.
    VerifyTimestampResponse correctly verifies the certificate chain signature, but the TSA-specific     constraint checks in VerifyLeafCert uses the first non-CA certificate from the PKCS#7 certificate bag     instead of the leaf certificate from the verified chain. An attacker can exploit this by prepending a     forged certificate to the certificate bag while the message is signed with an authorized key, causing the     library to validate the signature against one certificate but perform authorization checks against     another. This vulnerability only affects users of the timestamp-authority/v2/pkg/verification package and     does not affect the timestamp-authority service itself or sigstore-go. The issue has been fixed in version     2.0.6. (CVE-2026-39984)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20702-1 advisory.

    Changes in trivy:

    - Update to version 0.70.0 (          bsc#1260193, CVE-2026-33186,          bsc#1260971, CVE-2026-33747,          bsc#1261052, CVE-2026-33748,          bsc#1262389, CVE-2026-39984,          bsc#1262893, CVE-2026-34986):
      * release: v0.70.0 [main] (#10105)
      * chore(deps): bump go.opentelemetry.io/otel/sdk from 1.42.0 to 1.43.0 (#10496)
      * chore(deps): bump github.com/sigstore/timestamp-authority/v2 from 2.0.3 to 2.0.6 (#10526)
      * chore(deps): bump the common group across 1 directory with 8 updates (#10540)
      * chore(deps): bump the docker group across 1 directory with 2 updates (#10538)
      * fix: use Development category for GoReleaser discussions (#10530)
      * chore(deps): bump testcontainers-go to v0.42.0 (#10531)
      * chore: update CODEOWNERS (#10529)
      * chore(deps): bump helm.sh/helm/v3 from 3.20.1 to 3.20.2 (#10511)
      * chore(deps): bump github.com/hashicorp/go-getter from 1.8.5 to 1.8.6 (#10510)
      * chore(deps): bump github.com/moby/buildkit from 0.27.1 to 0.28.1 (#10449)
      * ci: migrate from mkdocs-material-insiders to mkdocs-material (#10509)
      * chore: remove aquasecurity/homebrew-trivy tap from GoReleaser (#10508)
      * ci: update runners for workflows that interact with GitHub API (#10502)
      * ci: rename tokens and update runners (#10500)
      * ci: trigger helm chart publishing via helm-charts workflow (#10474)
      * ci: remove ruleset update step from release-please workflow (#10499)
      * ci: use large runner and replace ORG_REPO_TOKEN in release-please workflow (#10498)
      * ci: trigger rpm/deb deployment via trivy-repo workflow (#10476)
      * fix: remove os.Stdout from wazero module config (#10403)
      * chore(deps): bump the common group across 1 directory with 22 updates (#10408)
      * chore(deps): bump google.golang.org/grpc from 1.78.0 to 1.79.3 (#10407)
      * fix(flag): validate template file extension (#10296)
      * fix(sbom): preserve Red Hat BuildInfo when scanning SBOMs without layer info (#10378)
      * fix: handle Go 1.26 GOEXPERIMENT version format change (#10351)
      * fix(python): handle multiple version specifiers in requirements.txt (#10361)
      * ci: run Trivy version bump in trivy-action (#10272)
      * fix(python): nil pointer dereference with optional poetry groups without dependencies (#10359)
      * ci: replace personal email with github-actions[bot] in workflows (#10369)
      * chore: replace smithy epoch parsing with stdlib time.Unix (#10286)
      * test: update golden files for purl changes (#10372)
      * ci: add zizmor to scan GitHub Actions workflows (#10322)
      * refactor: log statuses as strings (#10285)
      * ci: add build provenance attestations for release artifacts (#10316)
      * fix(sbom): add NOASSERTION for licenseDeclared/licenseConcluded in SPDX non-library packages (#10368)
      * fix(report): set correct sarif ROOTPATH uri when scanning a git repository (#10366)
      * perf(plugin): optimize directory traversal by replacing filepath.Walk with filepath.WalkDir (#10325)
      * docs: correct typos in CHANGELOG and diagram (#10320)
      * chore: delete roadmap wf (#10295)
      * ci(helm): bump Trivy version to 0.69.3 for Trivy Helm Chart 0.21.3 (#10310)
      * fix(cyclonedx): include CVSS v4 vulnerability ratings (#10313)
      * fix: detected vulnerability fields in azure and mariner detector (#10275)
      * ci: add persist-credentials: false to checkout steps (#10306)
      * ci(helm): bump Trivy version to 0.69.2 for Trivy Helm Chart 0.21.2 (#10270)
      * chore(deps): bump the common group across 1 directory with 8 updates (#10248)
      * chore(deps): bump go.opentelemetry.io/otel/sdk from 1.39.0 to 1.40.0 (#10257)
      * chore(deps): bump the aws group across 1 directory with 6 updates (#10249)
      * chore(deps): bump github.com/cloudflare/circl from 1.6.1 to 1.6.3 (#10241)
      * ci: remove apidiff workflow (#10259)
      * chore(deps): bump github.com/docker/cli from 29.1.4+incompatible to 29.2.1+incompatible in the docker     group across 1 directory (#10221)
      * ci: bump golangci-lint to v2.10 in cache-test-assets (#10243)
      * feat(java): add support for proxy configuration from Maven settings.xml (#10187)
      * chore(deps): bump the github-actions group across 3 directories with 11 updates (#10242)
      * feat(python): add pylock.toml support (#10137)
      * chore: bump SPDX license IDs and exceptions to `v3.28.0` (#10233)
      * docs: fix typos and upgrade insecure HTTP links to HTTPS (#10219)
      * chore: bump golangci-lint to v2.10.0 (#10223)
      * feat(misconf): support for azurerm_network_interface_security_group_association  (#10215)
      * ci: pin Docker Engine to v29 for integration tests (#10232)
      * feat(go): detect version from ELF symbol table for binaries built with -trimpath (#10197)
      * docs: migrate private registry documentation from GCR to GAR (#10208)
      * chore(deps): bump the common group across 1 directory with 24 updates (#10206)
      * chore(deps): update Docker client SDK to v29 (#10202)
      * test: update Docker Engine integration tests for Docker API v0.29.0+ compatibility (#10199)
      * fix(misconf): initialize custom annotation field if empty (#10123)
      * feat(ubuntu): add eol data for 25.10 (#10181)
      * docs: fix incorrect count of Python package managers (#10175)
      * chore(deps): bump github.com/go-git/go-git/v5 from 5.16.4 to 5.16.5 (#10179)
      * feat(misconf): resolve Azure resources via resource_id (#10173)
      * ci(helm): bump Trivy version to 0.69.1 for Trivy Helm Chart 0.21.1 (#10155)
      * refactor: remove unused Insecure field from ServiceOption (#10113)
      * refactor: reduce complexity of init in detect.go (#10163)
      * feat(misconf): adapt ARM k8s clusters (#9696) (#10125)
      * docs: update version endpoint example in client/server documentation (#10151)
      * feat(vuln): skip third-party packages in common Detect function (#10129)
      * ci: add composite action for Go setup (#10146)
      * fix(misconf): apply check aliases when filtering results via .trivyignore (#10112)
      * docs(terraform): add limitation for data sources and computed resource attributes (#10128)
      * fix: update PhotonOS feed URL (#10122)
      * feat(server): include server version info in JSON output for client/server mode (#10075)
      * chore(deps): bump to alpine:3.23.3 and go-1.25.6 to fix CVEs (#10107)
      * refactor: unify scanner error limit and compiler limit (#10106)
      * ci(helm): bump Trivy version to 0.69.0 for Trivy Helm Chart 0.21.0 (#10103)
      * fix(java): Disable overwriting exclusions (#10088)
      * refactor(rust): use txtar format for cargo analyzer test data (#10104)
      * feat(python): add pylock.toml (PEP 751) parser (#9632)
      * chore(deps): bump the aws group across 1 directory with 6 updates (#10068)
      * fix(server): exclude JavaDB and CheckBundle from /version endpoint (#10100)

    - Update to version 0.69.3 (CVE-2026-25934, bsc#1258094):
      * release: v0.69.3 [release/v0.69] (#10293)
      * fix(deps): bump github.com/go-git/go-git/v5 from 5.16.4 to 5.16.5 [backport: release/v0.69] (#10291)
      * release: v0.69.2 [release/v0.69] (#10266)
      * fix(deps): bump go.opentelemetry.io/otel/sdk from 1.39.0 to 1.40.0 [backport: release/v0.69] (#10267)
      * fix(deps): bump github.com/cloudflare/circl from 1.6.1 to 1.6.3 [backport: release/v0.69] (#10264)
      * ci: remove apidiff workflow
      * release: v0.69.1 [release/v0.69] (#10145)
      * ci: add composite action for Go setup [backport: release/v0.69] (#10150)
      * fix(misconf): apply check aliases when filtering results via .trivyignore [backport: release/v0.69]     (#10143)
      * chore(deps): bump to alpine:3.23.3 and go-1.25.6 to fix CVEs [backport: release/v0.69] (#10135)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20711-1 advisory.

    Changes in hauler:

    - update to 1.4.3 ( bsc#1262353, CVE-2026-39984, bsc#1262942, CVE-2026-34986):
      * [1.4] Bump go.opentelemetry.io/otel/sdk from 1.40.0 to 1.43.0         in the go_modules group across 1 directory
      * [1.4] Bump github.com/sigstore/timestamp-authority/v2 from         2.0.4 to 2.0.6 in the go_modules group across 1 directory
      * [1.4] Bump google.golang.org/grpc from 1.78.0 to 1.79.3 in         the go_modules group across 1 directory
      * fixed versions and dependencies on release/1.4
      * [1.4] removed unnecessary rewrite flag from sync
      * added makefile command for vulnerability checks (backport #577)
      * remove cherrypick bot and add mergify details (backport #581)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-5df889949e advisory.

    Update to 2.92.0 and make telemetry sending opt in.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
306632	Linux Distros 未修補的弱點：CVE-2026-39984	Nessus	Misc.	2026/4/16	2026/5/6	medium
311219	Amazon Linux 2：nerdctl、--advisory ALAS2-2026-3265 (ALAS-2026-3265)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
311344	Amazon Linux 2023：nerdctl (ALAS2023-2026-1605)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
306632	Linux Distros 未修补的漏洞：CVE-2026-39984	Nessus	Misc.	2026/4/16	2026/5/6	medium
311219	Amazon Linux 2：nerdctl、--advisory ALAS2-2026-3265 (ALAS-2026-3265)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
311344	Amazon Linux 2023：nerdctl (ALAS2023-2026-1605)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
313027	Fedora 44:gh(2026-5df889949e)	Nessus	Fedora Local Security Checks	2026/5/7	2026/5/7	medium
306632	Linux Distros のパッチ未適用の脆弱性: CVE-2026-39984	Nessus	Misc.	2026/4/16	2026/5/6	medium
311219	Amazon Linux 2 : nerdctl, --advisory ALAS2-2026-3265 (ALAS-2026-3265)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
311344	Amazon Linux 2023 : nerdctl (ALAS2023-2026-1605)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
313632	openSUSE 16 セキュリティ更新 : trivy (openSUSE-SU-2026:20702-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	high
306632	Linux Distros Unpatched Vulnerability : CVE-2026-39984	Nessus	Misc.	2026/4/16	2026/5/6	medium
311219	Amazon Linux 2 : nerdctl, --advisory ALAS2-2026-3265 (ALAS-2026-3265)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
311344	Amazon Linux 2023 : nerdctl (ALAS2023-2026-1605)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
313632	openSUSE 16 Security Update : trivy (openSUSE-SU-2026:20702-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	high
313748	openSUSE 16 Security Update : hauler (openSUSE-SU-2026:20711-1)	Nessus	SuSE Local Security Checks	2026/5/11	2026/5/11	medium
313027	Fedora 44 : gh (2026-5df889949e)	Nessus	Fedora Local Security Checks	2026/5/7	2026/5/7	medium

检测

插件搜索

medium

critical

critical

medium

critical

critical

medium

medium

critical

critical

high

medium

critical

critical

high

medium

medium