Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Distribution 是一个用于打包、发货、存储和交付容器内容的工具包。在 3.1.0之前的版本中当 storage.cache.blobdescriptor:
    redis 和 storage.delete.enabled: true 均已启用。删除路径会清除共享摘要描述符，但会留下过时的存储库范围内成员资格，因此之后从存储库 b 进行的 Stat 或 Get 操作会重新填充共享描述符，并使已删除的 blob 可再次从存储库 a 中读取。此漏洞已在 3.1.0 中修复。(CVE-2026-35172)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Distribution 是一種用於封裝、隨附、儲存和提供容器內容的工具組。在 3.1.0之前的版本中在明確刪除 storage.cache.blobdescriptor 時發行版本可以還原 repo 中的讀取存取權
    redis 和 storage.delete.enabled: true 皆已啟用。刪除路徑會清除共用摘要描述符號但會留下過時的 repo 範圍成員資格因此來自 repo b 的較新 Stat 或 Get 會重新填入共用描述符號並使已刪除的 blob 可再次從 repo a 讀取。此弱點已在 3.1.0 中修復。(CVE-2026-35172)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Distribution は、コンテナコンテンツをパック、出荷、保存、提供するためのツールキットです。 3.1.0より前のディストリビューションは、storage.cache.blobdescriptor:
    redis と storage.delete.enabled: true の両方が有効になっています。削除パスは共有ダイジェスト記述子を消去しますが、古い repo-scoped メンバーシップが残るので、その後の Stat または Get from repo b は共有記述子を再入力し、削除された blob を再び repo a から読み取ることができるようになります。この脆弱性は 3.1.0 で修正されました。(CVE-2026-35172)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20686-1 アドバイザリで言及されています。

    ディストリビューション用のこの更新では、次の問題を修正しています

    セキュリティ問題:

    - CVE-2026-33186:google.golang.org/grpc:HTTP/2 の不適切な検証による承認バイパス:
    path 擬似ヘッダー(bsc#1260283)。
    - CVE-2026-33540:認証レルム URL の不適切な検証による情報漏洩(bsc#1261793)。
    - CVE-2026-34986:github.com/go-jose/go-jose/v4:暗号化された鍵がない細工された JWE 入力が、サービス拒否を引き起こす可能性があります(bsc#1262951)。
    - CVE-2026-35172:コンテンツ削除後の古い参照による情報漏洩(bsc#1262096)。

    非セキュリティ問題:

    - distribution-registry.tmpfiles を追加します(jsc#PED-14747)。
    - ディストリビューションは、go1.24 EOL に対してビルドします(bsc#1259718)。

    配布に関する変更:

    - 3.1.0 に更新してください

     * タグページネーションのサポートを追加します
     * Azure ストレージプロバイダーのデフォルトの認証情報を修正
     * go1.23 および go1.24 のサポートをドロップし、go1.25 に更新します
     * 変更の完全なリストについては、下記の変更ログ全体を参照してください。
     * docs:新しいイメージタグ v3 を参照するために更新します
     * Azure ストレージプロバイダーのdefault_credentialsを修正します
     * chore:関数コメントを関数名と一致させます
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、golang.org/x/net を 0.37.0 から 0.38.0 に更新します
     * 修正:Ed25519 公開鍵の JWK 拇印を実装します
     * 修正:validation.indexes 構成ドキュメントからのコードブロックに注釈をつける
     * feat:redis 構成を抽出して構造体を分離します
     * 修正:追加しない書き込みに一時ファイルを使用することで #4478 される問題を解決します
     * build(deps):ossf/scorecard-action を 2.4.1 から へ更新します 2.4.2
     * docs:「OTEL_TRACES_EXPORTER」に関する注記を追加
     * 修正:デフォルトで OTEL トレースを無効に設定
     * docs の OTEL トレースリンクに対するマークダウン構文を修正します
     * UUID を UUIDv7 に切り替えます
     * リファクタリング:マップ反復をマップに置き換えます。コピー/クローン
     * s3-aws:386 のビルドを修正します
     * docs:クイックスタート docs に OpenTelemetry リンクを追加
     * S3 ドライバーのログレベルパラメーターを修正します
     * TestSchedule テストのデータ競合を修正しました
     * #4683 を修正 - ecdsa キーの拇印に Gx/Gy ではなく X/Y を使用
     * build(deps):アクション/チェックアウトを 4 から 5 に更新します
     * Docker Hub フェアユースポリシーへの壊れたリンクを修正します
     * 修正(レジストリ/ハンドラー/アプリ):redis CA
     * build(deps):アクション/ラベラーを 5 から 6 へ更新します
     * build(deps):actions/setup-go を 5 から 6 へ更新します
     * build(deps):actions/upload-pages-artifact を 3 から 4 へ更新します
     * build(deps):ossf/scorecard-action を 2.4.2 から へ更新します 2.4.3
     * build(deps):github/codeql-action を 3.26.5 から へ更新します 4.30.7
     * build(deps):github/codeql-action を 4.30.7 から へ更新します 4.30.8
     * chore:labeler:内部/クライアント/** 用エリア/クライアントマッピングを追加
     * client:Accept ヘッダーを Exists() HEAD に追加
     * feat(registry):緩やかなシャットダウンテストを堅牢にします
     * fix(registry):Upstream チャレンジに対するログフォーマットを修正します
     * build(deps):github/codeql-action を 4.30.8 から へ更新します 4.30.9
     * build(deps):github/codeql-action を 4.30.9 から へ更新します 4.31.3
     * リファクタリング:for ループの冗長変数宣言を削除
     * redis 削除ポリシーに関して -> 必須
     * build(deps):アクション/チェックアウトを 5 から 6 へ更新します
     * 間違った警告ヒント
     * オブジェクトをリストする際の戻りエラーを追加します
     * build(deps):アクション/チェックアウトを 5.0.1 から 6.0.0
     * build(deps):peter-evans/dockerhub-description を 4 から 5 へ更新します
     * 修正:マニフェスト HEAD リクエストのログ回帰
     * ブール解析ユーティリティを追加
     * S3 に対して「useFIPSEndpoint」を漏洩します
     * Cloudfleet Container Registry を採用者に追加
     * fix(ci):破損した Azure e2e ストレージテストを修正
     * バグ:メディアタイプが空のときにアクションと機能するように通知フィルタリングを修正します
     * build(deps):アクション/チェックアウトを 6.0.0 から 6.0.1
     * build(deps):アクション/アップロードアーティファクトを 4.6.2 から 6.0.0
     * build(deps):github/codeql-action を 4.31.3 から へ更新します 4.31.10
     * build(deps):github/codeql-action を 4.31.10 から へ更新します 4.32.2
     * build(deps):アクション/チェックアウトを 6.0.1 から 6.0.2
     * golangci-lint を v2.9 に更新し、linting の問題を修正します
     * go1.25.7、alpine 3.23、xx v1.9.0 に更新してください
     * ベンダー:github.com/sirupsen/logrus v1.9.4
     * ベンダー:golang.org/x/* 依存関係の更新
     * ベンダー:github.com/docker/docker-credential-helpers v0.9.5
     * ベンダー:github.com/opencontainers/image-spec v1.1.1
     * ベンダー:github.com/klauspost/compress v1.18.4
     * 修正:ハードコードされたサービス名よりも otel 変数を優先
     * ベンダー:github.com/spf13/cobra v1.10.2
     * ベンダー:github.com/bshuster-repo/logrus-logstash-hook v1.1.0
     * 修正:parent dir を同期して、データが確実に保存されるようにします
     * コードを近代化
     * ベンダー:github.com/docker/go-events 605354379745
     * ベンダー:github.com/go-jose/go-jose/v4 v4.1.3
     * build(deps):github/codeql-action を 4.32.2 から へ更新します 4.32.5
     * build(deps):docker/login-action を 3 から 4 へ更新します
     * build(deps):アクション/アップロードアーティファクトを 6.0.0 から 7.0.0
     * build(deps):docker/setup-buildx-action を 3 から 4 へ更新します
     * build(deps):docker/bake-action を 6 から 7 へ更新します
     * build(deps):docker/metadata-action を 5 から 6 へ更新します
     * 修正:「proxyingRegistry.Close()」の nil-check スケジューラ
     * 修正:「putContent」での最初の「書き込み」呼び出しの前に GCS ライターで MD5 を設定します
     * docs:プルスルーキャッシュは複数回リモートからプルします
     * regionendpoint オプション s3.md 更新します
     * chore(deps):Go を CI ワークフローおよび go.mod の最新 1.25 に更新します
     * 修正:Ed25519 JWK 拇印「kty」を「OTP」から「OKP」へ修正します
     * vacuum.go を更新してください
     * オプション:リフェクタータグリストのページネーションのサポート(ステージ 1)
     * 環境変数を構成で YAML インライン構造体に正しく一致させます
     * クライアント証明書なしでRedis TLSを有効にする
     * build(deps):actions/deploy-pages を 4 から 5 に更新します
     * build(deps):github/codeql-action を 4.32.5 から へ更新します 4.34.1
     * 修正(レジストリ/プロキシ):書き込みバッファのフラッシュ時に分離されたコンテキストを使用します
     * ci:アクションを固定し、zizmor auto-fixes を適用します
     * build(deps):actions/setup-go を 6.3.0 から 6.4.0
     * build(deps):1 つのディレクトリにまたがる go_modules グループで、github.com/go-jose/go-jose/v4 を 4.1.3 から 4.1.4 に更新します
     * chore(app):部分的な TLS 構成が Redis で使用される場合に警告します
     * feat(registry):htpasswd 実装での認証チェックを強化します
     * Opt:リファクタリングタグリストのページネーションのサポート
     * build(deps):codecov/codecov-action を 5.5.4 から へ更新します 6.0.0
     * build(deps):アクション/構成ページを 5.0.0 から 6.0.0
     * fix(vendor):修正がベンダー検証を破損させました
     * chore(ci):v3.1 リリースの準備
    - バージョン 3.1.0 への更新:
     * 修正(ベンダー):修正が vendpor 検証を破損させました
     * Redis repo スコープの blob 記述子失効を修正します
     * proxy:ベアラーレルムを Upstream 信頼境界にバインドします
    - 前回の変更後にディレクトリ所有権を復元
    - 変更不可モードの場合に、systemd tmpfiles dir 内の構成ファイルを移動します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-d7d99f08ff のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    docker-distribution-3.1.1-1.fc45の自動更新。

    ##### **変更ログ**

    ```
    * 2026年5月1日(金) ブラッドリー・G・スミス <bradley.g.smith@gmail.com> - 3.1.1-1
    - リリースv3.1.1へのアップデート
    - 解決: rhbz#2455529
    - CVE-2026-41888を修正します
    - 上流の修正とアップデート
    - aarch64での一時的なannocheckスキップテストによるブロークンブランチ保護テスト
    * 2026年4月6日(月) ブラッドリー・G・スミス <bradley.g.smith@gmail.com> - 3.1.0-1
    - リリースv3.1.0へのアップデート
    - 解決: rhbz#2455529、rhbz#2455654
    - CVE-2026-35172を解決します
    - CVE-2026-33540を解決します
    - Upstream 修正
    * 2026年2月8日(日) ブラッドリー・G・スミス <bradley.g.smith@gmail.com> - 3.0.0-5
    - 重複回線の削除
    * 2026年2月2日(月) マックスウェル・G <maxwell@gtmx.me> - 3.0.0-4
    - の再構築 https://fedoraproject.org/wiki/Changes/golang1.26

    ```

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20686-1 advisory.

    This update for distribution fixes the following issues

    Security issues:

    - CVE-2026-33186: google.golang.org/grpc: authorization bypass due to improper validation of the HTTP/2:
    path pseudo-       header (bsc#1260283).
    - CVE-2026-33540: information disclosure via improper validation of authentication realm URL     (bsc#1261793).
    - CVE-2026-34986: github.com/go-jose/go-jose/v4: crafted JWE input with a missing encrypted key can lead     to a denial of       service (bsc#1262951).
    - CVE-2026-35172: information disclosure via stale references after content deletion (bsc#1262096).

    Non security issues:

    - add distribution-registry.tmpfiles (jsc#PED-14747).
    - distribution builds against go1.24 EOL (bsc#1259718).

    Changes for distribution:

    - update to 3.1.0

     * Adds support for tag pagination
     * Fixes default credentials in Azure storage provider
     * Drops support for go1.23 and go1.24 and updates to go1.25
     * See the full changelog below for the full list of changes.
     * docs: Update to refer to new image tag v3
     * Fix default_credentials in azure storage provider
     * chore: make function comment match function name
     * build(deps): bump golang.org/x/net from 0.37.0 to 0.38.0 in      the go_modules group across 1 directory
     * fix: implement JWK thumbprint for Ed25519 public keys
     * fix: Annotate code block from validation.indexes      configuration docs
     * feat: extract redis config to separate struct
     * Fix: resolve issue #4478 by using a temporary file for non-      append writes
     * build(deps): bump ossf/scorecard-action from 2.4.1 to 2.4.2
     * docs: Add note about `OTEL_TRACES_EXPORTER`
     * fix: set OTEL traces to disabled by default
     * Fix markdown syntax for OTEL traces link in docs
     * Switch UUIDs to UUIDv7
     * refactor: replace map iteration with maps.Copy/Clone
     * s3-aws: fix build for 386
     * docs: Add OpenTelemetry links to quickstart docs
     * Fix S3 driver loglevel param
     * Fixed data race in TestSchedule test
     * Fixes #4683 - uses X/Y instead of Gx/Gy for thumbprint of      ecdsa keys
     * build(deps): bump actions/checkout from 4 to 5
     * Fix broken link to Docker Hub fair use policy
     * fix(registry/handlers/app): redis CAs
     * build(deps): bump actions/labeler from 5 to 6
     * build(deps): bump actions/setup-go from 5 to 6
     * build(deps): bump actions/upload-pages-artifact from 3 to 4
     * build(deps): bump ossf/scorecard-action from 2.4.2 to 2.4.3
     * build(deps): bump github/codeql-action from 3.26.5 to 4.30.7
     * build(deps): bump github/codeql-action from 4.30.7 to 4.30.8
     * chore: labeler: add area/client mapping for      internal/client/**
     * client: add Accept headers to Exists() HEAD
     * feat(registry): Make graceful shutdown test robust
     * fix(registry): Correct log formatting for upstream challenge
     * build(deps): bump github/codeql-action from 4.30.8 to 4.30.9
     * build(deps): bump github/codeql-action from 4.30.9 to 4.31.3
     * refactor: remove redundant variable declarations in for loops
     * should -> must regarding redis eviction policy
     * build(deps): bump actions/checkout from 5 to 6
     * Incorrect warning hint
     * Add return error when list object
     * build(deps): bump actions/checkout from 5.0.1 to 6.0.0
     * build(deps): bump peter-evans/dockerhub-description from 4 to      5
     * fix: Logging regression for manifest HEAD requests
     * Add boolean parsing util
     * Expose `useFIPSEndpoint` for S3
     * Add Cloudfleet Container Registry to adopters
     * fix(ci): Fix broken Azure e2e storage tests
     * BUG: Fix notification filtering to work with actions when      mediatypes is empty
     * build(deps): bump actions/checkout from 6.0.0 to 6.0.1
     * build(deps): bump actions/upload-artifact from 4.6.2 to 6.0.0
     * build(deps): bump github/codeql-action from 4.31.3 to 4.31.10
     * build(deps): bump github/codeql-action from 4.31.10 to 4.32.2
     * build(deps): bump actions/checkout from 6.0.1 to 6.0.2
     * update golangci-lint to v2.9 and fix linting issues
     * update to go1.25.7, alpine 3.23, xx v1.9.0
     * vendor: github.com/sirupsen/logrus v1.9.4
     * vendor: update golang.org/x/* dependencies
     * vendor: github.com/docker/docker-credential-helpers v0.9.5
     * vendor: github.com/opencontainers/image-spec v1.1.1
     * vendor: github.com/klauspost/compress v1.18.4
     * fix: prefer otel variables over hard coded service name
     * vendor: github.com/spf13/cobra v1.10.2
     * vendor: github.com/bshuster-repo/logrus-logstash-hook v1.1.0
     * fix: sync parent dir to ensure data is reliably stored
     * modernize code
     * vendor: github.com/docker/go-events 605354379745
     * vendor: github.com/go-jose/go-jose/v4 v4.1.3
     * build(deps): bump github/codeql-action from 4.32.2 to 4.32.5
     * build(deps): bump docker/login-action from 3 to 4
     * build(deps): bump actions/upload-artifact from 6.0.0 to 7.0.0
     * build(deps): bump docker/setup-buildx-action from 3 to 4
     * build(deps): bump docker/bake-action from 6 to 7
     * build(deps): bump docker/metadata-action from 5 to 6
     * fix: nil-check scheduler in `proxyingRegistry.Close()`
     * fix: set MD5 on GCS writer before first `Write` call in      `putContent`
     * docs: pull through cache will pull from remote multiple times
     * Update s3.md regionendpoint option
     * chore(deps): Bump Go to latest 1.25 in CI workflows and      go.mod
     * fix: correct Ed25519 JWK thumbprint `kty` from `OTP` to      `OKP`
     * Update vacuum.go
     * Opt: refector tag list pagination support (stage 1)
     * Correctly match environment variables to YAML-inlined structs      in configuration
     * Enable Redis TLS without client certificates
     * build(deps): bump actions/deploy-pages from 4 to 5
     * build(deps): bump github/codeql-action from 4.32.5 to 4.34.1
     * fix(registry/proxy): use detached context when flushing write      buffer
     * ci: pin actions and apply zizmor auto-fixes
     * build(deps): bump actions/setup-go from 6.3.0 to 6.4.0
     * build(deps): bump github.com/go-jose/go-jose/v4 from 4.1.3 to      4.1.4 in the go_modules group across 1 directory
     * chore(app): warn when partial TLS config is used in Redis
     * feat(registry): enhance authentication checks in htpasswd      implementation
     * Opt: refactor tag list pagination support
     * build(deps): bump codecov/codecov-action from 5.5.4 to 6.0.0
     * build(deps): bump actions/configure-pages from 5.0.0 to 6.0.0
     * fix(vendor): fix broke vendor validation
     * chore(ci): Prep for v3.1 release
    - Update to version 3.1.0:
     * fix(vendor): fix broke vendpor validation
     * fix redis repo-scoped blob descriptor revocation
     * proxy: bind bearer realms to upstream trust boundary
    - restore directory ownership after last change
    - Move config files in systemd tmpfiles dir for immutable mode

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Distribution is a toolkit to pack, ship, store, and deliver container content. Prior to 3.1.0,     distribution can restore read access in repo a after an explicit delete when storage.cache.blobdescriptor:
    redis and storage.delete.enabled: true are both enabled. The delete path clears the shared digest     descriptor but leaves stale repo-scoped membership behind, so a later Stat or Get from repo b repopulates     the shared descriptor and makes the deleted blob readable from repo a again. This vulnerability is fixed     in 3.1.0. (CVE-2026-35172)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-d7d99f08ff advisory.

    Automatic update for docker-distribution-3.1.1-1.fc45.

    ##### **Changelog**

    ```
    * Fri May  1 2026 Bradley G Smith <bradley.g.smith@gmail.com> - 3.1.1-1
    - Update to release v3.1.1
    - Resolves: rhbz#2455529
    - Fixes CVE-2026-41888
    - Upstream fixes and updates
    - Temporary annocheck skip test for broken branch protection test on       aarch64
    * Mon Apr  6 2026 Bradley G Smith <bradley.g.smith@gmail.com> - 3.1.0-1
    - Update to release v3.1.0
    - Resolves: rhbz#2455529, rhbz#2455654
    - Resolves CVE-2026-35172
    - Resolves CVE-2026-33540
    - Upstream fixes
    * Sun Feb  8 2026 Bradley G Smith <bradley.g.smith@gmail.com> - 3.0.0-5
    - Remove duplicate lines
    * Mon Feb  2 2026 Maxwell G <maxwell@gtmx.me> - 3.0.0-4
    - Rebuild for https://fedoraproject.org/wiki/Changes/golang1.26

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
305620	Linux Distros 未修补的漏洞：CVE-2026-35172	Nessus	Misc.	4/8/2026	8/4/2026	high
305620	Linux Distros 未修補的弱點：CVE-2026-35172	Nessus	Misc.	4/8/2026	8/4/2026	high
305620	Linux Distros のパッチ未適用の脆弱性: CVE-2026-35172	Nessus	Misc.	4/8/2026	8/4/2026	high
313696	openSUSE 16 セキュリティ更新:distribution(openSUSE-SU-2026:20686-1)	Nessus	SuSE Local Security Checks	5/10/2026	5/10/2026	critical
311486	Fedora 45 : docker-distribution (2026-d7d99f08ff)	Nessus	Fedora Local Security Checks	5/2/2026	5/18/2026	medium
313696	openSUSE 16 Security Update : distribution (openSUSE-SU-2026:20686-1)	Nessus	SuSE Local Security Checks	5/10/2026	5/10/2026	critical
305620	Linux Distros Unpatched Vulnerability : CVE-2026-35172	Nessus	Misc.	4/8/2026	8/4/2026	high
311486	Fedora 45 : docker-distribution (2026-d7d99f08ff)	Nessus	Fedora Local Security Checks	5/2/2026	5/18/2026	medium

Detections

Analytics

Plugins Search

high

high

high

critical

medium

critical

high

medium