There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - oras-go is a Go library for managing OCI artifacts. Prior to 2.6.2, content/file.Store extraction of OCI
    layers marked with io.deis.oras.content.unpack=true can write outside the store working directory. The
    pushDir path through extractTarDirectory and ensureLinkPath validates symlink targets lexically,
    resolveRelToBase skips its parent-symlink walk for root-level entries, and writeFile follows a terminal
    symlink when opening a regular file. A malicious archive can therefore create a symlink chain whose
    lexical target remains inside the extraction root but whose resolved target is an attacker-selected
    absolute path, then overwrite that target with a same-named regular-file entry even when
    AllowPathTraversalOnWrite is false. Pulling an attacker-controlled artifact can create or overwrite any
    file writable by the process and may lead to code execution. This issue is fixed in version 2.6.2.
    (CVE-2026-85731)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - oras-go 是用於管理 OCI 構件的 Go 程式庫。2.6.2之前 內容/檔案。以 io.deis.oras.content.unpack=true 標示的 OCI 層的存放區擷取可以在存放區工作目錄外部寫入。透過 extractTarDirectory 和 ensureLinkPath 的 pushDir 路徑會以詞彙方式驗證符號連結目標，resolveRelToBase 會跳過根層級項目的父符號連結遍歷，而 writeFile 會在開啟一般檔案時遵循終端符號連結。因此，惡意封存可以建立符號連結鏈，其詞彙目標保留在擷取根目錄內，但其解析的目標是攻擊者選取的絕對路徑，然後使用同名的一般檔案項目覆寫該目標，即使 AllowPathTraversalOnWrite 為 false。提取攻擊者控制的成品可能會建立或覆寫處理程序可寫入的任何檔案，並可能導致程式碼執行。2.6.2 版已修正此問題。
    (CVE-2026-85731)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - oras-go 是用于管理 OCI 构件的 Go 库。在 content/file 之前 2.6.2。以 io.deis.oras.content.unpack=true 标记的 OCI 层的存储提取可在存储工作目录外写入。通过 extractTarDirectory 和 ensureLinkPath 的 pushDir 路径会从词汇上验证符号链接目标，resolveRelToBase 会跳过根级条目的父符号链接遍历，并且 writeFile 会在打开常规文件时跟随终端符号链接。因此，恶意存档可创建符号链接链，其词汇目标仍留在提取根内，但解析的目标是攻击者所选的绝对路径，然后使用同名的常规文件条目覆盖该目标，即使 AllowPathTraversalOnWrite 为 false。拉取攻击者控制的构件可创建或覆盖进程可写入的任何文件，可能导致执行代码。此问题已在 2.6.2 版本中修复。
    (CVE-2026-85731)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - oras-goは、OCIアーティファクトを管理するためのGoライブラリです。2.6.2より前の content/file。io.deis.oras.content.unpack=trueとマークされたOCIレイヤーのストア抽出は、ストア作業ディレクトリの外部に書き込む可能性があります。extractTarDirectory と ensureLinkPath を通る pushDir パスはシンボリックリンクターゲットを語彙的に検証し、resolveRelToBase は通常のファイルを開くときに親シンボリックリンクウォークをスキップし、writeFile は通常のファイルを開くときにターミナルシンボリックリンクに従います。このため、悪意のあるアーカイブが、その語彙ターゲットが抽出ルート内に残るが、その解決されたターゲットが攻撃者が選択した絶対パスであるシンボリックリンクチェーンを作成し、AllowPathTraversalOnWrite が false の場合でも同じ名前の正規ファイルエントリでターゲットを上書きする可能性があります。攻撃者が制御するアーティファクトをプルすると、プロセスによって書込み可能なファイルが作成または上書きされ、コードが実行される可能性があります。この問題はバージョン 2.6.2 で修正されています。
    (CVE-2026-85731)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4417-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-85731:oras.land/oras-go/v2:ファイル外の任意ファイル書き込み。tar 抽出におけるシンボリックリンクチェーンバイパスを介してルートを保存します(bsc#1281104)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。

    helm の変更:

    - バージョン 3.22.0 への更新:
     * chore(deps):6 つの更新で k8s-io グループを 1 つのディレクトリにまたがって更新します
     * バージョンを 3.22 に更新(#32606)
     *修正:helmがレジストリにプッシュするとき(トークン認証を使用)(バックポート)(#32362)スコープを設定します
     * chore(deps):k8s-io グループを 7 つの更新で更新(#32573)
     * chore(deps): 1.12.0 から 1.12.1 へ github.com/stretchr/testify を更新します(#32563)
     * chore(deps): 1.11.1 から 1.12.0 へ github.com/stretchr/testify を更新します(#32554)
     * chore(deps):golang.org/x/crypto を 0.54.0 から 0.55.0 へ更新します(#32542)
     * [dev-v3 バックポート] deps: GO-2026-6061 に対する google.golang.org/grpc@v1.82.1 を更新します(#32536)
     * 修正: GO-2026-5158 に対する go.opentelemetry.io/otel@v1.44.0 を更新します(#32535)
     * chore(deps):github.com/santhosh-tekuri/jsonschema/v6 を更新します
     * 修正(出所):ProtonMail/go-crypto に移行して解決します GO-2026-5932
     * chore(deps):k8s-io グループを 7 つの更新で更新します
     * chore(deps):github/codeql-action/upload-sarif を増やします(#32449)
     * chore(deps):github/codeql-action/analyze を 4.37.1 から へ更新します 4.37.2
     * chore(deps):github/codeql-action/autobuild を 4.37.1 から 4.37.2
     * chore(deps):github/codeql-action/init を 4.37.1 から へ更新します 4.37.2
     * chore(deps):github/codeql-action/autobuild を 4.37.0 から 4.37.1 へ更新します(#32381)
     * chore(deps):github/codeql-action/upload-sarif を増やします(#32382)
     * ci:dev-v3 をターゲットとする PR の自動ラベル付け(#32340)
     * chore(deps):oras.land/oras-go/v2 を 2.6.1 から 2.6.2 へ更新します(#32331)
     * chore(deps):github.com/mattn/go-shellwords を 1.0.13 から 1.0.14 へ更新します(#32332)
     * chore(deps):github/codeql-action/analyze を 3.26.6 から 4.37.0 へ更新します(#32357)
     * chore(deps):github/codeql-action/upload-sarif を増やします(#32360)
     * chore(deps):github/codeql-action/init を 3.26.6 から 4.37.0 へ更新します(#32359)
     * chore(deps):golang/govulncheck-action を 1.0.4 から 1.1.0 へ更新します(#32356)
     * chore(deps):golangci/golangci-lint-action を 6.1.1 から 9.3.0 へ更新します(#32354)
     * chore(deps):ossf/scorecard-action を 2.4.0 から 2.4.3 へ更新します(#32353)
     * chore(deps):golang.org/x/text を 0.38.0 から 0.40.0 へ更新します(#32310)
     * chore(deps):golang.org/x/crypto を 0.53.0 から 0.54.0 へ更新します(#32308)
     * chore(deps): 0.44.0 から 0.45.0 へ golang.org/x/term を更新します(#32306)
     * fix(engine):空のファイルでの Files.Lines のパニックを防止します
     * 修正:containerd v1 dep をドロップし、govulncheck CVE を解決
     * chore(deps):github.com/containerd/containerd を 1.7.32 から 1.7.33
     * chore(deps):github.com/cyphar/filepath-securejoin を更新します
     * chore(deps):k8s-io グループを 2 つの更新で更新します
     * chore(deps):2 つの更新で 1 つのディレクトリにまたがって k8s-io グループを更新します
     * 修正(registry):oras-go v2.6.1 での plain-HTTP フォールバックで認証情報を保持します
     * chore(deps):oras.land/oras-go/v2 を 2.6.0 から 2.6.1
     * chore(deps): golang.org/x/crypto を 0.52.0 から 0.53.0 に更新します
     * chore(deps): golang.org/x/term を 0.43.0 から 0.44.0 に更新します
     * chore(deps): golang.org/x/text を 0.37.0 から 0.38.0 に更新します
     * ci:golangci-lint を go の v2.11.3 に更新します 1.26
     * chore(deps):github.com/lib/pq を 1.11.2 から 1.12.3
     * chore(deps):github.com/distribution/distribution/v3 を更新します
     * chore(deps):github.com/containerd/containerd を 1.7.30 から 1.7.32
     * chore(deps):github.com/Masterminds/semver/v3 を 3.4.0 から 3.5.0
     * chore(deps):github.com/mattn/go-shellwords を 1.0.12 から 1.0.13
     * chore(deps): golang.org/x/crypto を 0.51.0 から 0.52.0 に更新します
     * 修正(deps):golang.org/x/net を v0.55.0 に更新して対処します GO-2026-5026
     * chore(deps):k8s.io/klog/v2 を 2.130.1 から 2.140.0
     * chore(deps): golang.org/x/text を 0.35.0 から 0.37.0 に更新します
     * [v3] バージョン v3.21 に更新(#32103)
     * [v3 バックポート] 不足しているリソースのロールバックを修正
     * 修正(アクション):CRD をインストールする際の NIL REST クライアントゲッターパニックを回避します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4417-1 advisory.

    - CVE-2026-85731: oras.land/oras-go/v2: arbitrary file write outside file.Store root via symlink-chain     bypass in tar       extraction (bsc#1281104).
    - CVE-2026-85732: oras.land/oras-go/v2: blind SSRF via unvalidated Link header URL in pagination allows     internal network       probing (bsc#1281112).

    Changes for helm:

    - Update to version 3.22.0:
     * chore(deps): bump the k8s-io group across 1 directory with 6 updates
     * bump version to 3.22 (#32606)
     * fix: set [pull,push] scope when helm push to a registry(use token auth) (backport) (#32362)
     * chore(deps): bump the k8s-io group with 7 updates (#32573)
     * chore(deps): bump github.com/stretchr/testify from 1.12.0 to 1.12.1 (#32563)
     * chore(deps): bump github.com/stretchr/testify from 1.11.1 to 1.12.0 (#32554)
     * chore(deps): bump golang.org/x/crypto from 0.54.0 to 0.55.0 (#32542)
     * [dev-v3 backport] deps: bump google.golang.org/grpc@v1.82.1 for GO-2026-6061 (#32536)
     * fix: bump go.opentelemetry.io/otel@v1.44.0 for GO-2026-5158 (#32535)
     * chore(deps): bump github.com/santhosh-tekuri/jsonschema/v6
     * fix(provenance): migrate to ProtonMail/go-crypto to resolve GO-2026-5932
     * chore(deps): bump the k8s-io group with 7 updates
     * chore(deps): bump github/codeql-action/upload-sarif (#32449)
     * chore(deps): bump github/codeql-action/analyze from 4.37.1 to 4.37.2
     * chore(deps): bump github/codeql-action/autobuild from 4.37.1 to 4.37.2
     * chore(deps): bump github/codeql-action/init from 4.37.1 to 4.37.2
     * chore(deps): bump github/codeql-action/autobuild from 4.37.0 to 4.37.1 (#32381)
     * chore(deps): bump github/codeql-action/upload-sarif (#32382)
     * ci: auto-label PRs targeting dev-v3 (#32340)
     * chore(deps): bump oras.land/oras-go/v2 from 2.6.1 to 2.6.2 (#32331)
     * chore(deps): bump github.com/mattn/go-shellwords from 1.0.13 to 1.0.14 (#32332)
     * chore(deps): bump github/codeql-action/analyze from 3.26.6 to 4.37.0 (#32357)
     * chore(deps): bump github/codeql-action/upload-sarif (#32360)
     * chore(deps): bump github/codeql-action/init from 3.26.6 to 4.37.0 (#32359)
     * chore(deps): bump golang/govulncheck-action from 1.0.4 to 1.1.0 (#32356)
     * chore(deps): bump golangci/golangci-lint-action from 6.1.1 to 9.3.0 (#32354)
     * chore(deps): bump ossf/scorecard-action from 2.4.0 to 2.4.3 (#32353)
     * chore(deps): bump golang.org/x/text from 0.38.0 to 0.40.0 (#32310)
     * chore(deps): bump golang.org/x/crypto from 0.53.0 to 0.54.0 (#32308)
     * chore(deps): bump golang.org/x/term from 0.44.0 to 0.45.0 (#32306)
     * fix(engine): prevent Files.Lines panic on empty file
     * fix: drop containerd v1 dep to resolve govulncheck CVEs
     * chore(deps): bump github.com/containerd/containerd from 1.7.32 to 1.7.33
     * chore(deps): bump github.com/cyphar/filepath-securejoin
     * chore(deps): bump the k8s-io group with 2 updates
     * chore(deps): bump the k8s-io group across 1 directory with 2 updates
     * fix(registry): keep credentials on plain-HTTP fallback with oras-go v2.6.1
     * chore(deps): bump oras.land/oras-go/v2 from 2.6.0 to 2.6.1
     * chore(deps): bump golang.org/x/crypto from 0.52.0 to 0.53.0
     * chore(deps): bump golang.org/x/term from 0.43.0 to 0.44.0
     * chore(deps): bump golang.org/x/text from 0.37.0 to 0.38.0
     * ci: bump golangci-lint to v2.11.3 for go 1.26
     * chore(deps): bump github.com/lib/pq from 1.11.2 to 1.12.3
     * chore(deps): bump github.com/distribution/distribution/v3
     * chore(deps): bump github.com/containerd/containerd from 1.7.30 to 1.7.32
     * chore(deps): bump github.com/Masterminds/semver/v3 from 3.4.0 to 3.5.0
     * chore(deps): bump github.com/mattn/go-shellwords from 1.0.12 to 1.0.13
     * chore(deps): bump golang.org/x/crypto from 0.51.0 to 0.52.0
     * fix(deps): bump golang.org/x/net to v0.55.0 to address GO-2026-5026
     * chore(deps): bump k8s.io/klog/v2 from 2.130.1 to 2.140.0
     * chore(deps): bump golang.org/x/text from 0.35.0 to 0.37.0
     * [v3] Bump to version v3.21 (#32103)
     * [v3 backport] Fix rollback for missing resources
     * fix(action): avoid nil REST client getter panic when installing CRDs

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - oras-go is a Go library for managing OCI artifacts. Prior to 2.6.2, content/file.Store extraction of OCI     layers marked with io.deis.oras.content.unpack=true can write outside the store working directory. The     pushDir path through extractTarDirectory and ensureLinkPath validates symlink targets lexically,     resolveRelToBase skips its parent-symlink walk for root-level entries, and writeFile follows a terminal     symlink when opening a regular file. A malicious archive can therefore create a symlink chain whose     lexical target remains inside the extraction root but whose resolved target is an attacker-selected     absolute path, then overwrite that target with a same-named regular-file entry even when     AllowPathTraversalOnWrite is false. Pulling an attacker-controlled artifact can create or overwrite any     file writable by the process and may lead to code execution. This issue is fixed in version 2.6.2.
    (CVE-2026-85731)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
462602	Echo: oras.land/oras-go/v2: security update to 2.6.2	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/13/2026	high
462602	Echo: oras.land/oras-go/v2: security update to 2.6.2	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/13/2026	high
348309	Linux Distros 未修補弱點：CVE-2026-85731	Nessus	Misc.	9/19/2026	10/26/2026	high
348309	Linux Distros 未修补的漏洞：CVE-2026-85731	Nessus	Misc.	9/19/2026	10/26/2026	high
348309	Linux Distros のパッチ未適用の脆弱性: CVE-2026-85731	Nessus	Misc.	9/19/2026	10/26/2026	high
362806	SUSE SLES15:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:4417-1)	Nessus	SuSE Local Security Checks	10/3/2026	10/3/2026	high
362806	SUSE SLES15: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2026:4417-1)	Nessus	SuSE Local Security Checks	10/3/2026	10/3/2026	high
348309	Linux Distros Unpatched Vulnerability : CVE-2026-85731	Nessus	Misc.	9/19/2026	10/26/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high