Golang 1.25.x < 1.25.8 / 1.26.x < 1.26.1 の複数の脆弱性

medium Nessus プラグイン ID 301252

Language:

概要

リモートホストにインストールされているアプリケーションは、複数の脆弱性の影響を受けます。

説明

リモートホストで実行している Golang のバージョンは、1.25.8 または 1.26.1 より前の 1.26.x です。したがって、アドバイザリに記載されている複数の脆弱性の影響を受けます。

- Go 標準ライブラリの関数 net/url.Parse は、IP-literal の前にガベージを無視できるものとして効果的に処理することで、ホスト/権限コンポーネントの検証が不十分で、一部の無効な URL を受け入れていました。関数はこれを無効として拒否していたはずです。この動作を防ぐために、net/url.Parse は URL のホストサブコンポーネントの先頭に表示されない IPv6 リテラルを拒否するようになりました。CVE-2026-25679

- Unix プラットフォームの os.Root に、TOCTOUtime-of-check/time-of-use競合状態が存在します。File.ReadDir および File.Readdir メソッドは、シンボリックリンク競合状態を通じて root 境界を回避できる lstat を使用して os.FileInfo をポピュレートします。攻撃者がこれを悪用し、ディレクトリコンテンツのリスティングとDirEntry.Info()の呼び出しの間のroot外部を向けるシンボリックリンクでディレクトリを置き換えることで、root外部のファイルのメタデータサイズ、変更時間、権限を取得する可能性があります。これは root 外のファイルの読み書きを許可しません。
(CVE-2026-27139)

- HTML メタタグのコンテンツ属性に URL を挿入するアクションはエスケープされません。これにより、メタタグに「refresh」値の http-equiv 属性もある場合に、XSS が発生する可能性があります。新しい GODEBUG 設定である htmlmetacontenturlescape が追加されました。これを使用すると、htmlmetacontenturlescape=0 を設定することで、「url=」に従うメタコンテンツ属性のアクションで、URL のエスケープを無効にできます。CVE-2026-27142

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。