SUSE SLES15 セキュリティ更新 : go1.25-openssl (SUSE-SU-2026:0297-1)
critical Nessus プラグイン ID 297011
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:0297-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。バージョン 1.25.6 に更新してください (2026 年 1 月 15 日リリース) (jsc#SLE-18320, bsc#1244485):
セキュリティの修正:
- CVE-2025-4674 cmd/go: 1 つのモジュールで複数の vcs のサポートを無効にします (bsc#1246118)。
- CVE-2025-47906 os/exec: LookPath のバグ: 一部の PATH 構成での「,」、「.」、および「..」の不適切な拡張 (bsc#1247719)。
- CVE-2025-47907 database/sql: Rows.Scan から不正な結果が返されます (bsc#1247720)。
- CVE-2025-47910 net/http: CrossOriginProtection の安全でないバイパスパターンが完全一致に制限されていません (bsc#1249141)。
- CVE-2025-47912 net/url: 括弧付き IPv6 ホスト名の検証が不十分 (bsc#1251257)。
- CVE-2025-58183 archive/tar: GNU スパースマップを解析する際の無制限割り当て (bsc#1251261)。
- CVE-2025-58185 encoding/asn1: DER ペイロードを解析する際にメモリを事前に割り当てると、メモリを枯渇させる可能性があります (bsc#1251258)。
- CVE-2025-58186 net/http: Cookie を解析する際の制限がないため、メモリを枯渇させる可能性があります (bsc#1251259)。
- CVE-2025-58187 crypto/x509: 名前制約のチェックにおけるの二次的な複雑性 (bsc#1251254)。
- CVE-2025-58188 crypto/x509: DSA 公開鍵で証明書を検証する際のパニック (bsc#1251260)。
- CVE-2025-58189 crypto/tls: 攻撃者が制御する情報を含む ALPN ネゴシエーションエラー (bsc#1251255)。
- CVE-2025-61723 encoding/pem: 一部の無効な入力を解析する際の二次的な複雑性 (bsc#1251256)。
- CVE-2025-61724 net/textproto: Reader.ReadResponse の過剰な CPU 消費 (bsc#1251262)。
- CVE-2025-61725 net/mail: ParseAddress の過剰な CPU 消費 (bsc#1251253)。
- CVE-2025-61726 net/http: Request.ParseForm におけるメモリ枯渇 (bsc#1256817)。
- CVE-2025-61727 crypto/x509: 除外されたサブドメイン制約は、ワイルドカード SAN を除外しません (bsc#1254430)。
- CVE-2025-61728 archive/zip: 任意の ZIP アーカイブを解析する際のサービス拒否 (bsc#1256816)。
- CVE-2025-61729 crypto/x509: ホスト証明書検証用のエラー文字列の出力での過剰なリソース消費 (bsc#1254431)。
- CVE-2025-61730 crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (bsc#1256821)。
- CVE-2025-61731 cmd/go: フラグサニタイズのバイパスにより、任意のコードが実行される可能性があります (bsc#1256819)。
- CVE-2025-68119 cmd/go: ツールチェーンを呼び出す際の予期しないコードの実行 (bsc#1256820)。
- CVE-2025-68121 crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (bsc#1256818)。
その他の修正:
* go#74822 cmd/go: 「get toolchain@latest」は、リリース候補を無視します
* go#74999 net: WriteMsgUDPAddrPort は、IPv4 UDP ソケット上の IPv4 にマッピングされた IPv6 宛先アドレスを受け入れます
* go#75008 os/exec: TestLookPath が CL 685755 後の plan9 で失敗します
* go#75021 testing/synctest: バブルが終了しません
* go#75083 os: File.Seek で Windows のオーバーラップ処理で正しいオフセットが設定されません
* go#75111 os, syscall: ReadAt を呼び出す際に、FILE_FLAG_OVERLAPPED を伴うボリューム処理が失敗します
* go#75116 os: 同じパスで同時に呼び出された場合、Root.MkdirAll は「file uses」を返す可能性があります
* go#75139 os: Root.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスが失われています
* go#75221 debug/pe: llvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
* go#75255 cmd/compile: インターフェース経由でのみ参照される DWARF タイプにエクスポートします
* go#75347 testing/synctest: 実行可能な goroutines がないテストタイムアウト
* go#75357 net: 新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が plan9 で失敗します
* go#75480 cmd/link: 複雑な汎用インライン化でのリンカーパニックと再配置のエラー
* go#75524 crypto/internal/fips140/rsa: セルフテストが失敗した場合、パニックが必要です
* go#75537 context: Done チャネルが閉じられる前に、Err が非 nil を返す可能性があります
* go#75539 net/http: 内部エラー: connCount アンダーフロー
* go#75595 cmd/compile: github.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
* go#75610 sync/atomic: Uintptr.Or のコメントが不適切な戻り値を説明しています
* go#75669 runtime: debug.decoratemappings が期待通りに機能しません
* go#75775 runtime: linux/arm64 で実行している linux/amd64 用の QEMU を介して実行する際、ビルドが失敗します
* go#75777 spec: Go1.25 の仕様は実際のリリース日の直近にする必要があります
* go#75790 crypto/internal/fips140/subtle: Go 1.25 notes.xorBytes の MIPS におけるパニック
* go#75832net/url: ipv4 にマッピングされた ipv6 アドレスは、角括弧内で有効である必要があります
* go#75861 crypto/x509: 末尾のドットにより FQDN で TLS 検証が失敗します
* go#75952 encoding/pem: 先頭のガベージがあるブロックをデコードする際の回帰
* go#75989 os: Windows で、RemoveAll が読み取り専用ファイルを含むディレクトリを削除する際に、unlinkat でエラーが発生し... アクセスが拒否されます
* go#76010 cmd/compile: any(func(){})==any(func(){}) はパニックにはなりませんが、
* go#76029 pem/encoding: 無効な形式の行末がパニックを引き起こす可能性があります
* go#76245 mime: FormatMediaType と ParseMediaType の 1.24 から 1.25まで互換性はありません
* go#76360 os: Windows で、RemoveAll が読み取り専用ファイルを含むディレクトリを削除する際に、unlinkat でエラーが発生し... アクセスが拒否され、ReOpenFile のエラー処理がフォローアップされます
* go#76392 os: Stdin がブロックされると、パッケージ初期化がハングアップします
* go#76409 crypto/tls: ECH が有効な場合、earlyTrafficSecret は ClientHelloInner を使用します
* go#76620 os: Unix で、Readdirnames がゼロ inode のディレクトリエントリをスキップします
* go#76761 runtime: Go 1.25.4 Windows 386 での os/signal における不適切なでのスタック分割
* go#76776 runtime: ppc64le の競合検出器クラッシュ
* go#76967 cmd/compile/internal/ssa: Compile.func1(): <function> のコンパイル中の sccp パニック:
ランタイムエラー: 範囲外のインデックス
* go#76973 errors: errors.Join の動作が 1.25 で変更されました
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける go1.25-openssl、go1.25-openssl-doc および / または go1.25-openssl-race パッケージを更新してください。参考資料
https://bugzilla.suse.com/1244485
https://bugzilla.suse.com/1245878
https://bugzilla.suse.com/1246118
https://bugzilla.suse.com/1247719
https://bugzilla.suse.com/1247720
https://bugzilla.suse.com/1247816
https://bugzilla.suse.com/1248082
https://bugzilla.suse.com/1249141
https://bugzilla.suse.com/1249985
https://bugzilla.suse.com/1251253
https://bugzilla.suse.com/1251254
https://bugzilla.suse.com/1251255
https://bugzilla.suse.com/1251256
https://bugzilla.suse.com/1251257
https://bugzilla.suse.com/1251258
https://bugzilla.suse.com/1251259
https://bugzilla.suse.com/1251260
https://bugzilla.suse.com/1251261
https://bugzilla.suse.com/1251262
https://bugzilla.suse.com/1254227
https://bugzilla.suse.com/1254430
https://bugzilla.suse.com/1254431
https://bugzilla.suse.com/1256816
https://bugzilla.suse.com/1256817
https://bugzilla.suse.com/1256818
https://bugzilla.suse.com/1256819
https://bugzilla.suse.com/1256820
https://bugzilla.suse.com/1256821
http://www.nessus.org/u?2e4ca7d0
https://www.suse.com/security/cve/CVE-2025-4674
https://www.suse.com/security/cve/CVE-2025-47906
https://www.suse.com/security/cve/CVE-2025-47907
https://www.suse.com/security/cve/CVE-2025-47910
https://www.suse.com/security/cve/CVE-2025-47912
https://www.suse.com/security/cve/CVE-2025-58183
https://www.suse.com/security/cve/CVE-2025-58185
https://www.suse.com/security/cve/CVE-2025-58186
https://www.suse.com/security/cve/CVE-2025-58187
https://www.suse.com/security/cve/CVE-2025-58188
https://www.suse.com/security/cve/CVE-2025-58189
https://www.suse.com/security/cve/CVE-2025-61723
https://www.suse.com/security/cve/CVE-2025-61724
https://www.suse.com/security/cve/CVE-2025-61725
https://www.suse.com/security/cve/CVE-2025-61726
https://www.suse.com/security/cve/CVE-2025-61727
https://www.suse.com/security/cve/CVE-2025-61728
https://www.suse.com/security/cve/CVE-2025-61729
https://www.suse.com/security/cve/CVE-2025-61730
https://www.suse.com/security/cve/CVE-2025-61731
プラグインの詳細
深刻度: Critical
ID: 297011
ファイル名: suse_SU-2026-0297-1.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/1/28
更新日: 2026/2/11
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.2
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2025-68121
CVSS v3
リスクファクター: Critical
基本値: 10
現状値: 9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:go1.25-openssl-doc, p-cpe:/a:novell:suse_linux:go1.25-openssl, cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:go1.25-openssl-race
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/1/26
脆弱性公開日: 2025/7/10
参照情報
CVE: CVE-2025-4674, CVE-2025-47906, CVE-2025-47907, CVE-2025-47910, CVE-2025-47912, CVE-2025-58183, CVE-2025-58185, CVE-2025-58186, CVE-2025-58187, CVE-2025-58188, CVE-2025-58189, CVE-2025-61723, CVE-2025-61724, CVE-2025-61725, CVE-2025-61726, CVE-2025-61727, CVE-2025-61728, CVE-2025-61729, CVE-2025-61730, CVE-2025-61731, CVE-2025-68119, CVE-2025-68121
SuSE: SUSE-SU-2026:0297-1