Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 悪意のあるモジュールプロキシが go コマンドによるモジュールチェックサム検証の欠陥を悪用して、チェックサムデータベース検証をバイパスする可能性があります。この脆弱性は、信頼できないモジュールプロキシ(GOMODPROXY)またはチェックサムデータベース(GOSUMDB)を使用するすべてのユーザーに影響を与えます。悪意のあるモジュールプロキシが、Go ツールチェーンの変更されたバージョンを提供する可能性があります。現在インストールされているツールチェーンとは異なるバージョンの Go ツールチェーンを選択すると (GOTOOLCHAIN 環境変数、あるいはツールチェーンラインのある go.work または go.mod が原因)、go コマンドは、モジュールプロキシによって提供されたツールチェーンをダウンロードして実行します。悪意のあるモジュールプロキシが、このダウンロードされたツールチェーンのチェックサムデータベース検証をバイパスする可能性があります。この脆弱性はツールチェーンダウンロードのセキュリティに影響を与えるため、GOTOOLCHAIN を固定バージョンに設定するだけでは不十分です。基本のGoツールチェーンをアップグレードする必要があります。goツールは、ツールチェーンの実行前に常にツールチェーンのハッシュを検証するため、修正済みバージョンはツールチェーンのキャッシュまたは変更されたバージョンの実行を拒否します。goツールはgo.sumファイルを信頼し、現在のモジュールの依存関係の正確なハッシュが含まれています。この脆弱性を悪用して変更されたモジュールを提供する悪意のあるプロキシは、go.sum に不適切なハッシュが記録される原因となります。信頼できない GOPROXY を構成したユーザーは、rm go.sum の実行によって影響を受けたかどうかを判断できます。モッズを整えてください。go mod verify を実行し、現在のモジュールのすべての依存関係を再検証します。特定の欠陥の詳細:モジュールがgo.sumファイルにリストされていないとき、goコマンドはチェックサムデータベースを参照してダウンロードされたモジュールを検証します。チェックサムデータベースによって報告されたモジュールハッシュが、ダウンロードされたモジュールのハッシュと一致することを検証します。ただし、チェックサムデータベースがモジュールのエントリを含んでいない正常な応答を返す場合は、go コマンドが検証を誤って許可していました。モジュールプロキシはチェックサムデータベースをミラーまたはプロキシすることがありますが、その場合、goコマンドはチェックサムデータベースに直接接続しません。チェックサムデータベースによって報告されたチェックサムは暗号で署名されているため、悪意のあるプロキシは、報告されたモジュールのチェックサムを変更しません。ただし、空のチェックサム応答、または関連のないモジュールのチェックサム応答を返すプロキシにより、ダウンロードされたモジュールが検証されたかのようにgoコマンドが続行する可能性があります。
    (CVE-2026-42501)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-42501

medium Nessus プラグイン ID 313248

バージョン 1.1