Amazon Linux 2 : golist, --advisory ALAS2-2026-3260 (ALAS-2026-3260)

critical Nessus プラグイン ID 311216

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている golist のバージョンは、0.10.1-10 より前です。したがって、ALAS2-2026-3260 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

ループ内の誘導変数に対する算術演算が、Go compiler (cmd/compile) のアンダーフローやオーバーフローに関して適切にチェックされていませんでした。その結果、コンパイラは実行時に無効なインデックスアクセスを許可し、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、メモリ破損を引き起こす可能性がありました。(CVE-2026-27143)

Go compiler (cmd/compile) が、no-op インターフェース変換を不適切に処理し、重複しないメモリ移動に関する正しい決定を妨げ、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、ランタイム時にメモリ破損を引き起こす可能性があります。(CVE-2026-27144)

チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

ポリシーを使用する証明書チェーンの検証は、チェーン内の証明書に非常に多くのポリシーマッピングが含まれている場合、予想外に非効率的であり、サービス拒否を引き起こす可能性があります。これは、VerifyOptions.Roots CertPool 内の root CA によって発行される、またはシステム証明書プール内の root CA によって発行される、他の方法で信頼できる証明書チェーンの検証のみに影響します。(CVE-2026-32281)

Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
(CVE-2026-32282)

TLS 接続の一方の側が、単一のレコードでのハンドシェイク後に複数のキー更新メッセージを送信する場合、接続がデッドロックし、制御されないリソース消費が発生する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。これは TLS 1.3 のみに影響します。(CVE-2026-32283)

tar.Reader は、古い GNU スパースマップフォーマットでエンコードされた多数のスパース領域を含む悪意のある細工されたアーカイブを読み取る際に、無制限の量のメモリを割り当てる可能性があります。(CVE-2026-32288)

JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。