リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21319-1 アドバイザリで言及されています。

    この go1.25-openssl の更新では、次の問題を修正します

    - バージョン go1.25.12 に更新してください (bsc#1244485)。
    - CVE-2025-61732: cmd/go: Go と C/C++ コメント解析の間の違いにより、C コードがスマグリングされる可能性があります (bsc#1257692)。
    - CVE-2025-68121: crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (bsc#1256818)。
    - CVE-2026-25679: net/url: IPv6 リテラルがホストの先頭にないため拒否 (bsc#1259264).
    - CVE-2026-27139: os: FileInfo が Root からエスケープする可能性があります (bsc#1259268)。
    - CVE-2026-27140: cmd/go: cgo と SWIG を使用する際のトラストレイヤーバイパス (bsc#1261653)。
    - CVE-2026-27142: html/template: メタコンテンツ属性アクションの URL がエスケープされません (bsc#1259265)。
    - CVE-2026-27143: cmd/compile: バインドチェック削除後に起こり得るメモリ破壊 (bsc#1261654)。
    - CVE-2026-27144: cmd/compile: no-op インターフェース変換が重複チェックをバイパス (bsc#1261655)。
    - CVE-2026-27145: crypto/x509: 候補のホスト名の分割を 1 回だけ行う (bsc#1267450)。
    - CVE-2026-32280: crypto/x509: チェーン構築中の予期しない作業 (bsc#1261656)。
    - CVE-2026-32281: crypto/x509: 非効率的なポリシー検証 (bsc#1261657)。
    - CVE-2026-32282: os: Root.Chmod は、Linux 上で root からのシンボリックリンクをたどることができる (bsc#1261658)。
    - CVE-2026-32283: crypto/tls: 複数の鍵更新ハンドシェイクメッセージにより、接続がデッドロックする可能性がある (bsc#1261659)。
    - CVE-2026-32288: archive/tar: 旧形式の GNU スパースマップを解析する際の無制限割り当て (bsc#1261660)。
    - CVE-2026-32289: html/template: JS テンプレートリテラルコンテキストが不適切に追跡されますbsc#1261661。
    - CVE-2026-33811: net: 長い CNAME 応答の処理時のクラッシュ (bsc#1264508)。
    - CVE-2026-33814: net/http: 不正な SETTINGS_MAX_FRAME_SIZE が指定された場合の HTTP/2 トランスポートの無限ループ (bsc#1264506)。
    - CVE-2026-39817: cmd/go: go tool pack が出力パスをサニタイズしない (bsc#1264505)。
    - CVE-2026-39819: cmd/go: go bug が予測可能な一時ファイル名のシンボリックリンクをたどる (bsc#1264504)。
    - CVE-2026-39820: net/mail: consumeComment での二次的な文字列連結 (bsc#1264503)。
    - CVE-2026-39822: os: シンボリックリンクと末尾のスラッシュによるルートエスケープ (bsc#1271014)。
    - CVE-2026-39823: html/template: メタコンテンツ URL エスケープのバイパスによる XSS (bsc#1264509)。
    - CVE-2026-39825: net/http/httputil: ReverseProxy が urlmaxqueryparams パラメーター数を超えるクエリを転送する (bsc#1264500)。
    - CVE-2026-39826: html/template: エスケープのバイパスによる XSS (bsc#1264507)。
    - CVE-2026-39836: net: Windows で NUL バイトを処理する際の Dial および LookupPort でのパニック (bsc#1264501)。
    - CVE-2026-42499: net/mail: consumePhrase での二次的な文字列連結 (bsc#1264502)。
    - CVE-2026-42501: cmd/go: 悪意のあるモジュールプロキシがチェックサムデータベースをバイパスする可能性があります (bsc#1264499)。
    - CVE-2026-42504: mime: WordDecoder.DecodeHeader での二次時間の複雑度 (bsc#1267442)。
    - CVE-2026-42505: crypto/tls: ECH 外部クライアント Hello で PSK を省略 (bsc#1271015)。
    - CVE-2026-42507: net/textproto: 任意の入力がエスケープなしでエラーに含まれる (bsc#1267444)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16 セキュリティ更新 : go1.25-openssl (openSUSE-SU-2026:21319-1)

critical Nessus プラグイン ID 327238

バージョン 1.1