したがって、ALAS2023-2026-1749 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/http: Request.ParseForm におけるメモリ枯渇 (CVE-2025-61726)

    archive/zip: 任意の ZIP アーカイブを解析する際のサービス拒否 (CVE-2025-61728)

    HostnameError.Error() 内で、エラー文字列を構築するとき、出力されるホストの数に制限はありません。さらに、エラー文字列は、繰り返し文字列の連結によって構築され、二次ランタイムにつながります。したがって、悪意のある攻撃者が提供する証明書により、過剰なリソース消費が発生する可能性があります。(CVE-2025-61729)

    crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (CVE-2025-61730)

    Unix プラットフォームにおいて、File.ReadDir または File.Readdir を使用してディレクトリのコンテンツをリストする場合、返された FileInfo は、そのファイルが開かれている root 以外のファイルを参照する可能性があります。このエスケープの影響は、lstat により提供されたメタデータをファイルシステム上の任意の場所から読み取ることに限定されており、root 外でのファイルの読み込みは許可されていません。(CVE-2026-27139)

    HTML メタタグのコンテンツ属性に URL を挿入するアクションはエスケープされません。これにより、メタタグに値refreshのhttp-equiv属性がある場合に、XSSが許可される可能性があります。新しい GODEBUG 設定である htmlmetacontenturlescape が追加されました。これを使用して、htmlmetacontenturlescape=0 を設定することで、url= に続くメタコンテンツ属性のアクションで URL のエスケープを無効にすることができます。(CVE-2026-27142)

    チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

    Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
    (CVE-2026-32282)

    JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

    cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

    HTTP/2 SETTINGS フレームを処理するときに、値が 0 のSETTINGS_MAX_FRAME_SIZEを受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

    ParseAddress、ParseAddressList、ParseDateに到達する巧妙に細工された入力が、過剰なCPU消耗とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

    CVE-2026-27142 URL が <meta> タグの <content> 属性内で正しくエスケープされない脆弱性を修正しました。URL コンテンツが <content> 属性内の「=」ルーンの周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にエスケープできず、XSS が発生します。(CVE-2026-39823)

    ReverseProxy は、Rewrite 関数に表示されないパラメーターを含むクエリを転送する可能性があります。Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用される場合、ReverseProxy は転送されたリクエストをサニタイズし、URL によって解析されないクエリパラメーターを削除します。ParseQuery。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される)クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。これにより、ReverseProxy は、Rewrite 関数に対して表示されないクエリパラメーターを含むリクエストを転送できる可能性があります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y は、パラメーター hidden=y を転送しながら、プロキシの再書き込み関数でこれを非表示にすることができます。(CVE-2026-39825)

    信頼できるテンプレート作成者が、空の「type」属性または ASCII 空白のある「type」属性を含む <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

    RFC 5322 にしたがってメールアドレスを解析する際、異常な入力により consumePhrase を介した DoS が引き起こされる可能性があります。(CVE-2026-42499)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023: compat-golang-github-cpuguy83-md2man-2-devel、golang-github-cpuguy83-md2man、 golang-github-cpuguy83-md2man-devel (ALAS2023-2026-1749)

medium Nessus プラグイン ID 316982

バージョン 1.1