There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - xz is a compression and decompression library focusing on the xz format completely written in Go. The
    function readUvarint used to read the xz container format may not terminate a loop provide malicous input.
    The problem has been fixed in release v0.5.8. As a workaround users can limit the size of the compressed
    file input to a reasonable size for their use case. The standard library had recently the same issue and
    got the CVE-2020-16845 allocated. (CVE-2021-29482)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - xz 是專注於 xz 格式的壓縮和解壓縮程式庫完全以 Go 撰寫。用來讀取 xz 容器格式的 readUvarint 函式可能無法終止提供惡意輸入的迴圈。
    此問題已在 v0.5.8 版本中修正。使用者可將壓縮檔案輸入的大小限制為適合其使用案例的大小做為因應措施。標準程式庫最近有相同問題且取得 CVE-2020-16845 配置。 (CVE-2021-29482)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xz 是一个完全用 Go 编写的针对 xz 格式的压缩和解压缩库。用于读取 xz 容器格式的函数 readUvarint 可能不会提供恶意输入而终止循环。
    版本 v0.5.8 中已修复此问题。作为变通方案用户可将压缩文件输入的大小限制为其使用案例的合理大小。标准库最近也出现了相同的问题并获得了分配 CVE-2020-16845 。 (CVE-2021-29482)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2022: 1276 公告中提及的多個弱點影響。

  - golang.org/x/text：分析 -u- 延伸模組時，language.ParseAcceptLanguage 發生錯誤 (CVE-2020-28851)

  - golang.org/x/text：處理 bcp47 標記時，language.ParseAcceptLanguage 發生錯誤 (CVE-2020-28852)

  - ulikunitz/xz：readUvarint 中的無限迴圈允許造成拒絕服務 (CVE-2021-29482)

  - golang：net：錯誤剖析 IP 位址八位元組開頭的無關零字元 (CVE-2021-29923)

  - gogo/protobuf：plugin/unmarshal/unmarshal.go 缺少特定的索引驗證 (CVE-2021-3121)

  - golang：net/http/httputil：處理程序錯誤後因爭用性讀取 persistConn 而發生錯誤 (CVE-2021-36221)

  - nodejs-axios：trim 函式中的規則運算式拒絕服務 (CVE-2021-3749)

  - golang.org/x/crypto：空白純文字封包可導致錯誤 (CVE-2021-43565)

  - envoy：使用 JWT 篩選器 safe_regex 比對時，發生 Null 指標解除參照 (CVE-2021-43824)

  - envoy：回應篩選器增加回應資料時，發生釋放後使用 (CVE-2021-43825)

  - envoy：透過 HTTP 建立 TCP 通道時，發生釋放後使用 (CVE-2021-43826)

  - envoy：不正確的組態處理允許在未進行重新驗證的情況下，重複使用 mTLS 工作階段 (CVE-2022-21654)

  - envoy：使用直接回應項目錯誤處理指向路由的內部重新導向 (CVE-2022-21655)

  - envoy：透過叢集探索服務刪除叢集時，發生堆疊耗盡 (CVE-2022-23606)

  - istio：未經驗證的控制平面拒絕服務攻擊 (CVE-2022-23635)

  - istio：因堆疊耗盡造成未經驗證的控制平面拒絕服務攻擊 (CVE-2022-24726)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022: 1276 公告中提及的多个漏洞影响。

  - golang.org/x/text：解析 -u- 扩展时，language.ParseAcceptLanguage 中发生错误 (CVE-2020-28851)

  - golang.org/x/text：处理 bcp47 标记时，language.ParseAcceptLanguage 中发生错误 (CVE-2020-28852)

  - ulikunitz/xz：readUvarint 中的无限循环漏洞允许造成拒绝服务 (CVE-2021-29482)

  - golang：net: 错误地解析 IP 地址 octet 开头的无关零字符 (CVE-2021-29923)

  - gogo/protobuf：plugin/unmarshal/unmarshal.go 缺少某些索引验证 (CVE-2021-3121)

  - golang：net/http/httputil：由于在处理程序发生异常后恶意读取 persistConn 而导致异常 (CVE-2021-36221)

  - nodejs-axios：trim 函数中的正则表达式拒绝服务 (CVE-2021-3749)

  - golang.org/x/crypto：空明文数据包可导致错误 (CVE-2021-43565)

  - envoy：使用 JWT 过滤器 safe_regex 匹配时，出现空指针取消引用问题 (CVE-2021-43824)

  - envoy：响应过滤器增加响应数据时发生释放后使用 (CVE-2021-43825)

  - envoy：通过 HTTP 传输 TCP 时发生释放后使用 (CVE-2021-43826)

  - envoy：不正确的配置处理允许在未经重新验证的情况下重复使用 mTLS 会话 (CVE-2022-21654)

  - envoy：使用直接响应条目错误处理指向路由的内部重定向 (CVE-2022-21655)

  - envoy：通过集群发现服务删除集群时，发生堆栈耗尽 (CVE-2022-23606)

  - istio：未经身份验证即发动控制平面拒绝服务攻击 (CVE-2022-23635)

  - istio：由于堆栈耗尽，未经身份验证即发动控制平面拒绝服务攻击 (CVE-2022-24726)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2022: 1276 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - golang.org/x/text: -u- 拡張の解析中に発生する、language.ParseAcceptLanguage でのパニック (CVE-2020-28851)

  - golang.org/x/text: bcp47 タグの処理中に発生する、language.ParseAcceptLanguage でのパニック (CVE-2020-28852)

  - ulikunitz/xz: readUvarint の無限ループにより、サービス拒否が発生する可能性があります (CVE-2021-29482)

  - golang: net: IPアドレスオクテットの先頭の無関係なゼロ文字を不適切に解析する (CVE-2021-29923)

  -gogo / protobuf：plugin / unmarshal / unmarshal.goに特定のインデックス検証がありません (CVE-2021-3121)

  - golang: net/http/httputil：ハンドラーパニック後のpersistConnの際どい読み取りによるパニック (CVE-2021-36221)

  - nodejs-axios: trim 関数での正規表現のサービス拒否 (CVE-2021-3749)

  - golang.org/x/crypto: 空の平文パケットによりパニックが発生 (CVE-2021-43565)

  - envoy: JWT フィルター safe_regex match を使用する際の NULL ポインターデリファレンス (CVE-2021-43824)

  - envoy: 応答フィルターが応答データを増加させるときのメモリ解放後使用 (use-after-free) (CVE-2021-43825)

  - envoy: TCP over HTTP をトンネリングするときのメモリ解放後使用 (use-after-free) (CVE-2021-43826)

  - envoy: 構成処理が不適切なため、mTLS セッションを再検証せずに再利用できます (CVE-2022-21654)

  - envoy: ダイレクトレスポンスエントリのあるルートへの内部リダイレクトの不適切な処理 (CVE-2022-21655)

  - envoy: Cluster Discovery Service を介してクラスターを削除する際のスタックの枯渇 (CVE-2022-23606)

  - istio: 認証されていないコントロールプレーンのサービス拒否攻撃 (CVE-2022-23635)

  - istio: スタックの枯渇による、認証されていないコントロールプレーンのサービス拒否攻撃 (CVE-2022-24726)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xz は、Go で完全に記述された xz フォーマットにフォーカスした圧縮および展開ライブラリです。xz コンテナフォーマットを読み取るために使用される readUvarint 関数は、悪意のある入力を提供するループを終了しない可能性があります。
    この問題は、リリース v0.5.8 で修正されています。回避策として、ユーザーは圧縮ファイル入力のサイズを、それぞれのユースケースに妥当なサイズに制限できます。標準ライブラリには最近同じ問題があり、 CVE-2020-16845 が割り当てられています。CVE-2021-29482

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - xz is a compression and decompression library focusing on the xz format completely written in Go. The     function readUvarint used to read the xz container format may not terminate a loop provide malicous input.
    The problem has been fixed in release v0.5.8. As a workaround users can limit the size of the compressed     file input to a reasonable size for their use case. The standard library had recently the same issue and     got the CVE-2020-16845 allocated. (CVE-2021-29482)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2022:1276 advisory.

    Red Hat OpenShift Service Mesh is Red Hat's distribution of the Istio service mesh project, tailored for     installation into an on-premise OpenShift Container Platform installation.

    This advisory covers the RPM packages for the release.

    Security Fix(es):

    * gogo/protobuf: plugin/unmarshal/unmarshal.go lacks certain index validation (CVE-2021-3121)

    * envoy: Incorrect configuration handling allows mTLS session re-use without re-validation     (CVE-2022-21654)

    * envoy: Incorrect handling of internal redirects to routes with a direct response entry (CVE-2022-21655)

    * istio: Unauthenticated control plane denial of service attack due to stack exhaustion (CVE-2022-24726)

    * golang.org/x/text: Panic in language.ParseAcceptLanguage while parsing -u- extension (CVE-2020-28851)

    * golang.org/x/text: Panic in language.ParseAcceptLanguage while processing bcp47 tag (CVE-2020-28852)

    * nodejs-axios: Regular expression denial of service in trim function (CVE-2021-3749)

    * ulikunitz/xz: Infinite loop in readUvarint allows for denial of service (CVE-2021-29482)

    * golang: net: incorrect parsing of extraneous zero characters at the beginning of an IP address octet     (CVE-2021-29923)

    * golang: net/http/httputil: panic due to racy read of persistConn after handler panic (CVE-2021-36221)

    * golang.org/x/crypto: empty plaintext packet causes panic (CVE-2021-43565)

    * envoy: Null pointer dereference when using JWT filter safe_regex match (CVE-2021-43824)

    * envoy: Use-after-free when response filters increase response data (CVE-2021-43825)

    * envoy: Use-after-free when tunneling TCP over HTTP (CVE-2021-43826)

    * envoy: Stack exhaustion when a cluster is deleted via Cluster Discovery Service (CVE-2022-23606)

    * istio: unauthenticated control plane denial of service attack (CVE-2022-23635)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
431919	SCA: security update for github.com/ulikunitz/xz (GHSA-25xm-hr59-7c27)	Tenable Cloud Security	SCA Checks	8/7/2025	7/2/2026	high
431919	SCA: security update for github.com/ulikunitz/xz (GHSA-25xm-hr59-7c27)	Tenable Self-Hosted Container Security	SCA Checks	8/7/2025	7/2/2026	high
250966	Linux Distros 未修補的弱點：CVE-2021-29482	Nessus	Misc.	8/18/2025	7/18/2026	high
250966	Linux Distros 未修补的漏洞：CVE-2021-29482	Nessus	Misc.	8/18/2025	7/18/2026	high
159603	RHEL 8：Red Hat OpenShift Service Mesh 2.0.9 (RHSA-2022: 1276)	Nessus	Red Hat Local Security Checks	4/8/2022	11/7/2024	critical
159603	RHEL 8：Red Hat OpenShift Service Mesh 2.0.9 (RHSA-2022: 1276)	Nessus	Red Hat Local Security Checks	4/8/2022	11/7/2024	critical
159603	RHEL 8: Red Hat OpenShift Service Mesh 2.0.9(RHSA-2022：1276)	Nessus	Red Hat Local Security Checks	4/8/2022	11/7/2024	critical
250966	Linux Distros のパッチ未適用の脆弱性: CVE-2021-29482	Nessus	Misc.	8/18/2025	7/18/2026	high
250966	Linux Distros Unpatched Vulnerability : CVE-2021-29482	Nessus	Misc.	8/18/2025	7/18/2026	high
159603	RHEL 8 : Red Hat OpenShift Service Mesh 2.0.9 (RHSA-2022:1276)	Nessus	Red Hat Local Security Checks	4/8/2022	11/7/2024	critical

Detections

Analytics

Plugins Search

high

high

high

high

critical

critical

critical

high

high

critical