Golang 1.26.x < 1.26.1 の複数の脆弱性

medium Nessus プラグイン ID 301251

Language:

概要

リモートホストにインストールされているアプリケーションは、複数の脆弱性の影響を受けます。

説明

リモートホストで実行している Golang のバージョンは、1.26.1 より前です。したがって、アドバイザリに記載されている複数の脆弱性の影響を受けます。

- 複数のメールアドレス制約完全なメールアドレスで構成される証明書を含む証明書チェーンを検証する場合、これらは共通のローカル部分「@」文字より前のアドレスの部分を共有するが、異なるドメイン部分最後の制約が考慮されます)。これにより、関連する制約によって許可されていないか除外されているメールアドレスを含むチェーン内の証明書を、Certificate.Verify への呼び出しによって返される可能性があります。名前制約チェックはチェーン構築の完了後に発生するため、これは、信頼できるルート (VerifyOptions.Roots またはシステムルート証明書プールのいずれかのルート証明書) にチェーンする証明書チェーンにのみ適用されます。どちらも含まれない証明書を発行するには、信頼できる CA が必要です。許可または除外されたメールアドレスを制御します。CVE-2026-27137

- チェーン内の証明書に空の DNS 名があり、チェーン内の別の証明書が名前制限を除外している場合、証明書の検証がパニックになる可能性があります。これは、X.509 証明書チェーンを直接検証するプログラム、または TLS を使用するプログラムをクラッシュさせる可能性があります。名前制約チェックはチェーン構築の完了後に発生するため、これは、信頼できるルート (VerifyOptions.Roots またはシステムルート証明書プールのいずれかのルート証明書) にチェーンする証明書チェーンにのみ適用されます。無効な形式の DNS を含む証明書を発行するには、信頼できる CA が必要です。発見しました。CVE-2026-27138

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。