There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - oras-go is a Go library for managing OCI artifacts. Prior to 2.6.2, ensureLinkPath in
    content/file/utils.go:262-275 validates a hardlink target relative to the extract base but returns the
    unresolved target, causing os.Link("victim.secret", "<extract_base>/payload.tar.gz/evil_cwd_link") to
    resolve header.Linkname against the process current working directory for a Typeflag=TypeLink entry such
    as Name=payload.tar.gz/evil_cwd_link and Linkname="victim.secret" with io.deis.oras.content.unpack:
    "true", which can expose or tamper with files such as .env, .git/config, .aws/credentials, and
    ~/.ssh/config. This issue is fixed in version 2.6.2. (CVE-2026-50163)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - oras-go 是用於管理 OCI 構件的 Go 程式庫。在之前 2.6.2，content/file/utils.go：262-275 中的 ensureLinkPath 會驗證相對於擷取基礎的硬連結目標，但傳回未解析的目標，進而導致作業系統。Link（victim.secret， <extract_base>/payload.tar.gz/evil_cwd_link） 以解析標頭。Linkname 與 Typeflag=TypeLink 項目的進程目前工作目錄 （例如 Name=payload.tar.gz/evil_cwd_link 和 Linkname=victim.secret 以及 io.deis.oras.content.unpack：
    true，可能會洩漏或竄改 .env、.git/config、.aws/credentials 和 ~/.ssh/config 等檔案。2.6.2 版已修正此問題。(CVE-2026-50163)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - oras-go 是用于管理 OCI 构件的 Go 库。在之前 2.6.2，content/file/utils.go：262-275 中的 ensureLinkPath 验证了相对于提取基础的硬链接目标，但返回未解析的目标，从而导致操作系统。链接（victim.secret， <extract_base>/payload.tar.gz/evil_cwd_link） 以解析标头。Linkname 与 Typeflag=TypeLink 条目的进程当前工作目录（例如 Name=payload.tar.gz/evil_cwd_link 和 Linkname=victim.secret（含 io.deis.oras.content.unpack）：
    true，可暴露或篡改 .env、.git/config、.aws/credentials 和 ~/.ssh/config 等文件。此问题已在 2.6.2 版本中修复。(CVE-2026-50163)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - oras-goは、OCIアーティファクトを管理するためのGoライブラリです。2.6.2の前に、content/file/utils.go:262-275のensureLinkPathは、抽出ベースを基準にしたハードリンクターゲットを検証しますが、未解決のターゲットを返し、OSを引き起こします。解決ヘッダーへのリンク(victim.secret, <extract_base>/payload.tar.gz/evil_cwd_link)。typeflag=TypeLink エントリの現在の作業ディレクトリに対する linkname (Name=payload.tar.gz/evil_cwd_link など) および linkname=victim.secret with io.deis.oras.content.unpack:
    true:.env、.git/config、.aws/credentials、~/.ssh/config などのファイルを漏洩または改ざんする可能性があります。この問題はバージョン 2.6.2 で修正されています。(CVE-2026-50163)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21801-1 アドバイザリで言及されています。

    - CVE-2026-24122:github.com/sigstore/cosign/v2/pkg/cosign:期限切れの CA 証明書よりも長存する証明書の不適切な検証(bsc#1258543)。
    - CVE-2026-37236:github.com/grpc-ecosystem/grpc-gateway/v2/runtime:クライアントは、X-HTTP-Method-Override ヘッダーを通じて POST リクエストの HTTP メソッドをオーバーライドし、確立されたアクセスコントロール(bsc#1278002)をバイパスする可能性があります。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage、go.opentelemetry.io/otel/propagation:バゲージ解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276745)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1278702)。
    - CVE-2026-56854、CVE-2026-56855、CVE-2026-78662:golang.org/x/crypto/ssh:crypto/ssh ライブラリにおける認証バイパスおよびデッドロック(bsc#1278624)。
    - CVE-2026-84303:github.com/grpc/grpc-go:xDS RBAC HTTPフィルター実装の問題により、大文字小文字混合または正規大文字小文字のヘッダー一致により承認ポリシーをバイパスすることが可能です(bsc#1279390)。
    - CVE-2026-84304:github.com/grpc/grpc-go:HTTP/2 DATA フレームの断片化によるヒープメモリの枯渇(bsc#1279395)。
    - CVE-2026-84445:google.golang.org/grpc:gRPC-Go xDS サーバーに「:authority」および「Host」ヘッダーがないことによるクラッシュによる DoS(bsc#1279392)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - oras-go is a Go library for managing OCI artifacts. Prior to 2.6.2, ensureLinkPath in     content/file/utils.go:262-275 validates a hardlink target relative to the extract base but returns the     unresolved target, causing os.Link(victim.secret, <extract_base>/payload.tar.gz/evil_cwd_link) to     resolve header.Linkname against the process current working directory for a Typeflag=TypeLink entry such     as Name=payload.tar.gz/evil_cwd_link and Linkname=victim.secret with io.deis.oras.content.unpack:
    true, which can expose or tamper with files such as .env, .git/config, .aws/credentials, and     ~/.ssh/config. This issue is fixed in version 2.6.2. (CVE-2026-50163)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21801-1 advisory.

    - CVE-2026-24122: github.com/sigstore/cosign/v2/pkg/cosign: improper validation of certificates that     outlive expired CA       certificates (bsc#1258543).
    - CVE-2026-37236: github.com/grpc-ecosystem/grpc-gateway/v2/runtime: client can override the HTTP method     of a POST       request through the X-HTTP-Method-Override header and bypass established access control (bsc#1278002).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage, go.opentelemetry.io/otel/propagation: no rejection of     raw-length       headers in baggage parsing allows for DoS via oversized inputs (bsc#1276745).
    - CVE-2026-50163: oras-go: Information disclosure and arbitrary file access via crafted tarball hardlinks     (bsc#1278702).
    - CVE-2026-56854,CVE-2026-56855,CVE-2026-78662: golang.org/x/crypto/ssh: authentication bypass and     deadlocks in the       crypto/ssh library (bsc#1278624).
    - CVE-2026-84303: github.com/grpc/grpc-go: xDS RBAC HTTP filter implementation issue allows for bypass of     authorization       policies via mixed-case or canonical-case header matches (bsc#1279390).
    - CVE-2026-84304: github.com/grpc/grpc-go: heap memory exhaustion via HTTP/2 DATA frame fragmentation     (bsc#1279395).
    - CVE-2026-84445: google.golang.org/grpc: DoS via crash due to missing `:authority` and `Host` headers in     gRPC-Go xDS       servers (bsc#1279392).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445682	SCA: security update for oras.land/oras-go/v2 (GHSA-fxhp-mv3v-67qp)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/5	2026/8/5	high
445682	SCA: security update for oras.land/oras-go/v2 (GHSA-fxhp-mv3v-67qp)	Tenable Cloud Security	SCA Checks	2026/8/5	2026/8/5	high
327772	Linux Distros 未修補弱點：CVE-2026-50163	Nessus	Misc.	2026/7/18	2026/8/24	high
327772	Linux Distros 未修补的漏洞：CVE-2026-50163	Nessus	Misc.	2026/7/18	2026/8/24	high
327772	Linux Distros のパッチ未適用の脆弱性: CVE-2026-50163	Nessus	Misc.	2026/7/18	2026/8/24	high
344683	openSUSE 16 セキュリティ更新 : trivy (openSUSE-SU-2026:21801-1)	Nessus	SuSE Local Security Checks	2026/9/11	2026/9/17	high
327772	Linux Distros Unpatched Vulnerability : CVE-2026-50163	Nessus	Misc.	2026/7/18	2026/8/24	high
344683	openSUSE 16 Security Update : trivy (openSUSE-SU-2026:21801-1)	Nessus	SuSE Local Security Checks	2026/9/11	2026/9/17	high

检测

插件搜索

high

high

high

high

high

high

high

high