There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Middleware causes a prohibitive amount of heap allocations when processing malicious preflight requests
    that include a Access-Control-Request-Headers (ACRH) header whose value contains many commas. This
    behavior can be abused by attackers to produce undue load on the middleware/server as an attempt to cause
    a denial of service. (CVE-2025-47908)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在处理包含 Access-Control-Request-Headers (ACRH) 标头其值中包含许多逗号的恶意预检请求时中间件会导致堆分配数量惊人。攻击者可滥用此行为在中间件/服务器上产生不当负载作为造成拒绝服务的尝试。 (CVE-2025-47908)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 處理包含 Access-Control-Request-Headers (ACRH) 標頭且其值中含有許多逗號的惡意預檢要求時中介軟體會造成過多的堆積配置。攻擊者可濫用此行為在中介軟體/伺服器上產生不當負載進而造成拒絕服務。 (CVE-2025-47908)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Middleware は、値に多くのコンマを含む Access-Control-Request-HeadersACRHヘッダーを含む悪意のある preflight リクエストを処理する際に、禁止的な量のヒープ割り当てを引き起こします。攻撃者がこの動作を悪用し、サービス拒否を引き起こす試みとして、ミドルウェア/サーバーに不適切なロードを生じさせる可能性があります。CVE-2025-47908

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2025:4481-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン への更新 0.28.1 jsc#PED-13285
      * [等しい] ラベルを使用する際の禁止ルールのパフォーマンスが向上しました。
      * UTF-8 マッチャーでのエスケープに関するドキュメントを改善します。
      * alertmanager_config_hash メトリクスヘルプを更新し、ハッシュが暗号的に強くはありませんをドキュメント化します。
      * を使用したときの amtool のパニックを修正 --verbose
      * Rocket.Chat のチャネルフィールドのテンプレートを修正します。
      * doc で rocket_configs として書かれている rocketchat_configs を修正します。
      * --enable-feature フラグの使用法を修正します。
      * OpsGenie API キーから空白を取り除きます。
      * 既存の問題を検索する際に Jira プロジェクトテンプレートがレンダリングされない問題を修正します。
      * 等しいラベルを省略させる可能性がある禁止ルールの JSON/YAML エンコーディングにおける小さなバグを修正します。
      * doc の slap_configs のヘッダーを修正します。
      * Microsoft Teams 通知の重みとラップを修正します。
    - バージョン にアップグレードしてください 0.28.0
      * CVE-2025-47908github.com/rs/cors を更新しますbsc#1247748。
      *SNS 統合のテンプレートエラーはエラーを返すようになりました。
      * log/slog を採用し、go-kit/log をドロップします。
      * フローに基づいて新しい Microsoft Teams 統合を追加します。
      * 新しい Rocket.Chat 統合を追加します。
      * 新しい Jira 統合を追加します。
      * GOMEMLIMIT のサポートを追加し、機能フラグを通じて有効にします
        --enable-feature=auto-gomemlimit.
      * GOMAXPROCS のサポートを追加し、機能フラグを通じて有効にしてください
        --enable-feature=auto-gomaxprocs.
      * アクティブおよび保留中のサイレントの最大数と、サイレンスごとの最大サイズ (バイト単位) を含む、サイレントの制限に対するサポートを追加します。フラグを使用できます。
        --silences.max-silences および --silences.max-silence-size-bytes に合わせて設定します。
      * ミュートされたアラートは、/api/v2/alerts エンドポイントおよび Alertmanager UI の両方で、抑制されているかどうかを表示するようになりました。
    - バージョン にアップグレードしてください 0.27.0
      * APIすべての api/v1/ エンドポイントの削除。これらのエンドポイントは、廃止メッセージを記録して返すようになり、 410 のステータスコードで応答するようになりました。
      * UTF-8 のサポートラベル名およびマッチャーの一部としての UTF-8 文字のサポートの導入。
      * Discord Integrationメッセージの最大長を強制します。
      * メトリクス実験的な機能フラグを導入しました
        --enable-feature=receiver-name-in-metrics に受信者の名前が含まれるようにします。
      * メトリクス設定された禁止ルールの数をカウントする alertmanager_inhibition_rules という名前の新しいインジケーターを導入しました。
      * メトリクスミュートされたアラートを追跡する alertmanager_alerts_supressed_total という名前の新しいカウンターを導入しました。これには、ミュートのソースを示す理由ラベルが含まれています。
      * Discord Integrationwebhook_url_file のサポートを導入しました。
      * Microsoft Teams 統合webhook_url_file のサポートが導入されました。
      * Microsoft Teams 統合サマリーのサポートを追加します。
      * メトリクス通知メトリクスは、ラベル理由に、contextCanceled および contextDeadlineExceeded の 2 つの新しい値をサポートするようになりました。
      * メールの統合auth_password_file のコンテンツは、プレフィックスおよびサフィックス付きの空白でトリミングされるようになりました。
      * amtool --alertmanager.url で amtool を使用する際に、webhook URL に必要なエラースキームを修正します。
      * MixinAlertmanagerFailedToSendAlerts、AlertmanagerClusterFailedToSendAlerts、AlertmanagerClusterFailedToSendAlertsを修正し、理由ラベルを確実に無視するようにします。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Middleware causes a prohibitive amount of heap allocations when processing malicious preflight requests     that include a Access-Control-Request-Headers (ACRH) header whose value contains many commas. This     behavior can be abused by attackers to produce undue load on the middleware/server as an attempt to cause     a denial of service. (CVE-2025-47908)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES15 / openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2025:4481-1 advisory.

    - Update to version 0.28.1 (jsc#PED-13285):
      * Improved performance of inhibition rules when using Equal         labels.
      * Improve the documentation on escaping in UTF-8 matchers.
      * Update alertmanager_config_hash metric help to document the         hash is not cryptographically strong.
      * Fix panic in amtool when using --verbose.
      * Fix templating of channel field for Rocket.Chat.
      * Fix rocketchat_configs written as rocket_configs in docs.
      * Fix usage for --enable-feature flag.
      * Trim whitespace from OpsGenie API Key.
      * Fix Jira project template not rendered when searching for         existing issues.
      * Fix subtle bug in JSON/YAML encoding of inhibition rules that         would cause Equal labels to be omitted.
      * Fix header for slack_configs in docs.
      * Fix weight and wrap of Microsoft Teams notifications.
    - Upgrade to version 0.28.0:
      * CVE-2025-47908: Bump github.com/rs/cors (bsc#1247748).
      * Templating errors in the SNS integration now return an error.
      * Adopt log/slog, drop go-kit/log.
      * Add a new Microsoft Teams integration based on Flows.
      * Add a new Rocket.Chat integration.
      * Add a new Jira integration.
      * Add support for GOMEMLIMIT, enable it via the feature flag
        --enable-feature=auto-gomemlimit.
      * Add support for GOMAXPROCS, enable it via the feature flag
        --enable-feature=auto-gomaxprocs.
      * Add support for limits of silences including the maximum number         of active and pending silences, and the maximum size per         silence (in bytes). You can use the flags
        --silences.max-silences and --silences.max-silence-size-bytes         to set them accordingly.
      * Muted alerts now show whether they are suppressed or not in         both the /api/v2/alerts endpoint and the Alertmanager UI.
    - Upgrade to version 0.27.0:
      * API: Removal of all api/v1/ endpoints. These endpoints         now log and return a deprecation message and respond with a         status code of 410.
      * UTF-8 Support: Introduction of support for any UTF-8         character as part of label names and matchers.
      * Discord Integration: Enforce max length in message.
      * Metrics: Introduced the experimental feature flag
        --enable-feature=receiver-name-in-metrics to include the         receiver name.
      * Metrics: Introduced a new gauge named         alertmanager_inhibition_rules that counts the number of         configured inhibition rules.
      * Metrics: Introduced a new counter named         alertmanager_alerts_supressed_total that tracks muted alerts,         it contains a reason label to indicate the source of the mute.
      * Discord Integration: Introduced support for webhook_url_file.
      * Microsoft Teams Integration: Introduced support for         webhook_url_file.
      * Microsoft Teams Integration: Add support for summary.
      * Metrics: Notification metrics now support two new values for         the label reason, contextCanceled and contextDeadlineExceeded.
      * Email Integration: Contents of auth_password_file are now         trimmed of prefixed and suffixed whitespace.
      * amtool: Fixes the error scheme required for webhook url when         using amtool with --alertmanager.url.
      * Mixin: Fix AlertmanagerFailedToSendAlerts,         AlertmanagerClusterFailedToSendAlerts, and         AlertmanagerClusterFailedToSendAlerts to make sure they ignore         the reason label.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
416968	SCA: security update for github.com/rs/cors (GHSA-mh55-gqvf-xfwm)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	high
416968	SCA: security update for github.com/rs/cors (GHSA-mh55-gqvf-xfwm)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	high
253558	Linux Distros 未修补的漏洞：CVE-2025-47908	Nessus	Misc.	8/22/2025	9/2/2026	high
253558	Linux Distros 未修補的弱點：CVE-2025-47908	Nessus	Misc.	8/22/2025	9/2/2026	high
253558	Linux Distros のパッチ未適用の脆弱性: CVE-2025-47908	Nessus	Misc.	8/22/2025	9/2/2026	high
279374	SUSE SLES15 / openSUSE 15 セキュリティ更新golang-github-prometheus-alertmanagerSUSE-SU-2025:4481-1]	Nessus	SuSE Local Security Checks	12/19/2025	12/19/2025	high
253558	Linux Distros Unpatched Vulnerability : CVE-2025-47908	Nessus	Misc.	8/22/2025	9/2/2026	high
279374	SUSE SLES15 / openSUSE 15 Security Update : golang-github-prometheus-alertmanager (SUSE-SU-2025:4481-1)	Nessus	SuSE Local Security Checks	12/19/2025	12/19/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high