リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:03159-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.23.12-1-openssl-fips とタグ付けされたリビジョンの go1.23-fips-release ブランチから切り取った、バージョン 1.23.12 に更新してください。 jsc#SLE-18320

      * へのリベース 1.23.12
      * HKDF-Extract の修正 c9s/c10s の最新の OpenSSL では、nil salt をゼロのハッシュ長バッファとして渡す必要があります。

    パッケージングの改善:

      * go_bootstrap_version を go1.20 から go1.21 に更新し、ブートストラップチェーンを短くします。 go1.21 は、オプションで gccgo でブートストラップし、go1.x の初期バージョンとして機能することができます。
      * を参照 boo#1247816 gccgo のあるブートストラップ go1.21

    go1.23.12 (2025 年 8 月 6 日リリース) には、database/sql および os/exec パッケージへのセキュリティ修正と、runtime へのバグ修正が含まれています。

    CVE-2025-47906 CVE-2025-47907:
      * go#74803 go#74466 boo#1247719 セキュリティ修正 CVE-2025-47906 os/execLookPath バグ「」、「.」の不適切な拡張一部の PATH 構成の「..」
      * go#74832 go#74831 boo#1247720 セキュリティ[] を修正します CVE-2025-47907 database/sqlRows.Scan から返される結果が正しくありません

      * go#74415 runtimefindRunnable の allpSnapshot の use-after-free
      * go#74693 runtimeruntime.(*unwinder).next のセグメンテーション違反
      * go#74721 cmd/goTestScript/build_trimpath_cgo が release-branch.go1.23 の dwarf をデコードできません
      * go#74726 cmd/cgo/internal/testsanitizersシグナルの失敗セグメンテーション違反または終了ステータス 66

    go1.23.11 (2025 年 7 月 8 日リリース) には、go コマンドのセキュリティ修正プログラムと、コンパイラ、リンカー、ランタイムのバグ修正が含まれています。

    CVE-2025-4674:
      * go#74382 go#74380 boo#1246118 セキュリティ[] を修正します CVE-2025-4674 cmd/go1 つのモジュールで複数の vcs のサポートを無効にします

      * go#73907 runtimeduffcopy 中のパニックにおける不良フレームポインター
      * go#74289 ランタイムヒープ mspan 制限の設定が遅すぎ、スパン割り当てと保守的スキャンの間でデータ競合が発生します
      * go#74293 internal/traceトレーサーで潜在的なデッドロックを発生させるストレステスト
      * go#74362 runtime/pprofgroutine プロファイルで「cannot read stack of running goroutine実行中のスタックを読み取れません」をクラッシュさせます
      * go#74402 cmd/linkASAN で実行する際に、シンボル github.com/ebitengine/purego.syscall15XABI0 の定義が重複しています

    go1.23.10 (2025 年 6 月 5 日リリース) には、net/http および os パッケージへのセキュリティ修正ならびにリンカーへのバグ修正が含まれています。boo#1229122 go1.23 リリース追跡

    CVE-2025-0913 CVE-2025-4673:
      * go#73719 go#73612 boo#1244157 セキュリティ CVE-2025-0913 os を修正Unix および Windows での O_CREATE|O_EXCL の一貫性のない処理
      * go#73905 go#73816 boo#1244156 セキュリティ CVE-2025-4673 net/http を修正しますクロスオリジンリダイレクトで機密ヘッダーがクリアされません

      * go#73677 ランタイム/デバッグBuildSetting が DefaultGODEBUG をドキュメント化しません
      * go#73831 cmd/linkGo 1.24.3 および 1.23.9 の回帰 - シンボル dlopen の重複した定義

    go1.23.9 (2025 年 5 月 6 日リリース) には、ランタイムおよびリンカーへの修正が含まれています。boo#1229122 go1.23 リリース追跡

      * go#73091 cmd/linkユーザー空間変数の linkname ディレクティブが runtime 変数をオーバーライドする可能性があります
      * go#73380 runtime、x/sys/unixConnectx が darwin/amd64 で破損しています

    go1.23.8 (2025 年 4 月 1 日リリース) には、net/http パッケージへのセキュリティ修正ならびに runtime および go コマンドへのバグ修正が含まれています。

      CVE-2025-22871:
      * go#72010 go#71988 boo#1240550 セキュリティ CVE-2025-22871 を修正します net/httpチャンクされたエンコーディングでベア LF を拒否します

      * go#72114 runtimemips ハードウェアのプロセスがハングします
      * go#72871 runtimeネスト化された cgo コールバックが返された後に外部コードとして扱われる余分な M での cgo コールバック
      * go#72937 internal/godebugswinsymlink と winreadlinkvolume に Go の不適切なデフォルトがあります 1.22

    go1.23.7 (2025 年 3 月 4 日リリース) には、net/http パッケージへのセキュリティ修正ならびに cgo、コンパイラ、および反映、runtime、および syscall パッケージへのバグ修正が含まれています。

      CVE-2025-22870:
      * go#71985 go#71984 boo#1238572 セキュリティ: 修正 CVE-2025-22870 net/http、x/net/proxy、x/net/http/httpproxy: IPv6 ゾーン ID を使用したプロキシバイパス

      * go#71727 runtime: usleep が s390x で不適切な tv_nsec を計算します
      * go#71839 runtime: range-over-func ループ本体に追加された回復がパニック伝播を停止しません/セグメンテーション違反 印刷エラー
      * go#71848 os: 実行中の子プロセスでの偽造の SIGCHILD
      * go#71875 Reflect: 関数型反復子メソッドの Value.Seq パニック
      * go#71915 Reflect: Value.Seq 反復値のタイプが、指定された int タイプのタイプと一致しません
      * go#71962 runtime/cgo: -Wdeclaration-after-statement でビルドしません

    go1.23.6 (2025 年 2 月 4 日リリース) には、crypto/elliptic パッケージへのセキュリティ修正ならびにコンパイラおよび go コマンドへのバグ修正が含まれています。

      CVE-2025-22866
      * go#71423 go#71383 boo#1236801 セキュリティ CVE-2025-22866 crypto/internal/fips140/nistec を修正しますp256NegCond は ppc64le の変数時間です

      * go#71263 cmd/go/internal/modfetch/codehostテストは git で失敗します 2.47.1
      * go#71230 cmd/compile破損したライトバリア

    go1.23.5 (2025 年 1 月 16 日リリース) には、crypto/x509 および net/http パッケージへのセキュリティ修正ならびにコンパイラ、ランタイム、および net パッケージへのバグ修正が含まれています。

      CVE-2024-45341 CVE-2024-45336:
      * go#71208 go#71156 boo#1236045 セキュリティ修正 CVE-2024-45341 crypto/x509IPv6 ゾーン ID の使用により、URI 名の制限がバイパスされる可能性があります
      * go#71211 go#70530 boo#1236046 セキュリティ CVE-2024-45336 net/httpクロスドメインリダイレクト後に機密ヘッダーが不適切に送信されるのを修正します

      * go#69988 runtimego1.22.5 での cgo 呼び出しの深刻なパフォーマンス低下
      * go#70517 cmd/compile/internal/importerエイリアスを真に反転、
      * go#70789 osMacOS の io.Copy(net.Conn, os.Stdin) は、入力を待機せずに直ちに終了します
      * go#71104 crypto/tlsTestVerifyConnection/TLSv12 の失敗
      * go#71147 internal/traceTraceCPUProfile/Stress の失敗

    go1.23.4 (2024 年 12 月 3 日リリース) には、コンパイラ、ランタイム、trace コマンド、syscall パッケージに対する修正が含まれています。

      * go#70644 crypto/rsa新しい鍵の生成が競合検知で非常に遅くなります
      * go#70645 提案go/typescope.Node 便利ゲッターを追加します
      * go#70646 x/tools/goplsインポートされていない完了により、インポート decl が破損されますclient=BBEdit
      * go#70648 crypto/tlsTestHandshakeClientECDHEECDSAAESGCM/TLSv12 の失敗
      * go#70649 x/benchmarks/ sweet/cmd/ sweetTestSweetEndToEnd の失敗
      * go#70650 crypto/tlsTestGetClientCertificate/TLSv13 の失敗
      * go#70651 x/tools/go/gcexportdatago >= を想定して実装を簡素化します 1.21
      * go#70654 cmd/gogo リストからの不適切な出力
      * go#70655 x/build/cmd/relui残りの一部の手動での継続的な Go メジャーリリースサイクルタスク用のワークフローを追加
      * go#70657 提案bufioScanner.IterText/Scanner.IterBytes
      * go#70658 x/net/http2拡張 CONNECT リクエストがスタックしていた
      * go#70659 oslinux-mips64 および linux-mips64le arch-mips での TestRootDirFS の失敗
      * go#70660 crypto/ecdsas390x での TestRFC6979 の失敗
      * go#70664 x/mobileターゲット macatalyst が OpenGLES ヘッダーを見つけられません
      * go#70665 x/tools/goplsrefactor.extract.variable がパッケージレベルで失敗します
      * go#70666 x/tools/goplsGetIfaceStubInfo のパニック
      * go#70667 提案crypto/x509証明書からの X25519 公開鍵の抽出をサポートします
      * go#70668 提案x/mobile未回復のパニックに対するサポートを改善します
      * go#70669 cmd/goTestScript/build_trimpath_cgo のローカルエラー
      * go#70670 cmd/link未使用関数がバイナリからデッドコードされません
      * go#70674 x/pkgsite [] に対するパッケージ削除リクエスト https://pkg.go.dev/github.com/uisdevsquad/go-test/debugmate* go#70675 cmd/go/internal/lockedfileplan9 の TestTransform の mountrpc フレーク
      * go#70677 すべてplan9 上の「Bad fid」エラーを伴うリモートファイルサーバー I/O 脆弱性
      * go#70678 internal/pollFD が閉じている際の「Intel(R) Xeon(R) plain」でのデッドロック
      * go#70679 mime/multipartgo では 1.23.3mime/multipart がリンクしません

    go1.23.2-3-openssl-fips とタグ付けされたリビジョンの go1.23-fips-release ブランチから切り取った、バージョン 1.23.2.3 に更新してください。 jsc#SLE-18320

    * openssl に対するマイナスのテストを追加します#243

    go1.23.3 (2024 年 11 月 6 日リリース) には、リンカー、ランタイム、net/http、os、syscall パッケージへの修正が含まれています。

      * go#69258 runtime破損した GoroutineProfile スタックトレース
      * go#69259 runtimeqemu 経由の multi-arch ビルドが、 go バイナリの実行に失敗します
      * go#69640 osos.checkPidfd() が SIGSYS でクラッシュします
      * go#69746 runtimeTestGdbAutotmpTypes の失敗
      * go#69848 cmd/compilesyscall.Syscall15792 バイト制限を超える nosplit スタック
      * go#69865 runtimemutexProfile に root フレームがありません
      * go#69882 time、runtime短い時間のための同時タイマー起動が多すぎます。Ticker
      * go#69978 time、runtime短い高速高速リセット時間での同時タイマー起動が多すぎます。Timer
      * go#69992 cmd/linkLC_UUID が go リンカーによって生成されないため、macOS 15 でローカルネットワークへのアクセスが失敗します
      * go#70001 net/http/pprofcoroutines + pprof によりプログラムがパニックする
      * go#70020 net/httpmacos 上の FileServer の短い書き込み

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : go1.23-openssl (SUSE-SU-2025:03159-1)

critical Nessus プラグイン ID 264605

バージョン 1.1