リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2092-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.26-openssl用のこの更新プログラムでは、以下の問題が修正されています

    セキュリティ問題:

    - CVE-2026-33811:net:長い CNAME 応答を処理する際にクラッシュします(bsc#1264508)。
    - CVE-2026-33814:net/http:不良なSETTINGS_MAX_FRAME_SIZEが与えられた際の HTTP/2 トランスポートの無限ループ(bsc#1264506)。
    - CVE-2026-39817:cmd/go:「go tool pack」は出力パスをサニタイズしません(bsc#1264505)。
    - CVE-2026-39819:cmd/go:「go bug」が予測可能な一時ファイル名のシンボリックリンクをたどります(bsc#1264504)。
    - CVE-2026-39820:net/mail:consumeComment での二次文字列の連結(bsc#1264503)。
    - CVE-2026-39823:html/template:メタコンテンツ URL エスケープのバイパスにより XSS が発生(bsc#1264509)。
    - CVE-2026-39825:net/http/httputil:ReverseProxy は、urlmaxqueryparams パラメーター(bsc#1264500)以上のクエリを転送します。
    - CVE-2026-39826:html/template:XSS につながるエスケープのバイパス(bsc#1264507)。
    - CVE-2026-39836:net:Windows 上の NULL バイトを処理する際の Dial および LookupPort におけるパニック(bsc#1264501)。
    - CVE-2026-42499:net/mail:consumePhrase における二次文字列の連結(bsc#1264502)。
    - CVE-2026-42501:cmd/go:悪意のあるモジュールプロキシがチェックサムデータベース(bsc#1264499)をバイパスする可能性があります。

    非セキュリティ問題:

    - go1.26 リリース追跡(bsc#1255111)。
    - Go パッケージに binutils-gold の依存関係がありません(bsc#1170826)。
    - openssl リンケージでビルドされた go を供給します(jsc#SLE-18320)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 セキュリティ更新 : go1.26-openssl (SUSE-SU-2026:2092-1)

medium Nessus プラグイン ID 317722

バージョン 1.1