リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21592-1 アドバイザリで言及されています。

    go1.25.13 (2026 年 8 月 13 日、 bsc#1244485 日リリース) に更新してください。


    修正されたセキュリティ問題:

    - CVE-2026-33818:encoding/asn1:再帰制限が強制されないため、深くネスト化された再帰構造(bsc#1275034)を解析する際にスタック消耗が引き起こされる可能性があります。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266609)。
    - CVE-2026-56853:net/http:暗号化されていない HTTP/2 チェックを行う際のタイムアウトの欠落により、サービス拒否(bsc#1275028)が引き起こされる可能性があります。
    - CVE-2026-56858:html/template:不適切な Javascript 正規表現コンテキスト追跡により、XSS 攻撃が可能になります(bsc#1275033)。
    - CVE-2026-56859:encoding/xml:デコード操作中に再帰深度ガードがないため、スタック消耗とサービス拒否(bsc#1275026)が発生する可能性があります。
    - CVE-2026-56860:net/url:特定の入力を処理する際の「resolvePath」の二次時間複雑度により、高いメモリ割り当てオーバーヘッドとサービス拒否(bsc#1275029)が発生する可能性があります。
    - CVE-2026-56862:crypto/tls:ハンドシェイク後に送信されるハンドシェイクメッセージに制限が設定されていないため、サービス拒否(bsc#1275032)が可能になります。
    - CVE-2026-56864:x/mod/sumdb:「Lookup」で承認された認証されていないハッシュにより、GOPROXY と GOSUMDB の調整が、クライアントに悪意のあるモジュールコンテンツを提供させることが可能になります(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:不適切な透過性ログタイル検証により、細工された入力のバイパスが可能になり、悪意のあるモジュールコンテンツが受け入れられる可能性があります(bsc#1275024)。

    go1.25.13 の変更:

    - go#79875 cmd/compile:slicemask のコンパイルミスを証明します。折りたたみが上位ビットにガベージを残します
    - go#80098 cmd/compile:内部コンパイラエラー Heapaddr なしで無効なヒープ割り当て var
    - go#80364 os:Root の MkdirAll が、フォワードスラッシュで終わるパスを作成できません
    - go#80366 os:TestRootMultiReadFile が CL 797880 より後の netbsd/arm64 で失敗します
    - go#80368 os:TestRootConsistencyRemoveAll が CL 797880 の後のプラン 9 で失敗します
    - go#80393 runtime:arm64 が、安全なコードでオブジェクトを解放するためのポインターを見つけました
    - go#80440 runtime:mach_vm_region_trampoline の間違った ABI によりレジスタが初期化されていないため、libc がガベージスタックデータをポインターとしてフォローします
    - go#80477 cmd/compile:riscv64 が構造体のコピーを間違ってコンパイルし、[]バイトスライスフィールドを破損します
    - go#80500 runtime:js/wasm:Go ヒープに不良ポインターを検出 -- 書き込みバリアバッファにポインターとして記録された link-layout-constant 値
    - go#80578 cmd/compile:regalloc は、信頼できない型データ(v.Type.IsSigned() など)を使用して、スピルの復元を選択します
    - go#80605 crypto/tls: FIPS 140-3 モードのエスケープハッチ Extended Master Secret の実施
    - go#80614 cmd/compile:mips64le は、32 ビットに適合しない const により OffPtr をミスコンパイルし、パニックを引き起こします
    - go#80616 cmd/compile:mips/mips64、大きなスタックフレームで破損した HI/LO から流出した乗算/除算結果
    - go#80618 cmd/compile:バグが無効な間接呼び出しを引き起こすことを証明します
    - go#80737 ランタイム:高パニック負荷での fpTracebackPartialExpand SIGSEGV

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16 セキュリティ更新 : go1.25 (openSUSE-SU-2026:21592-1)

high Nessus プラグイン ID 338685

バージョン 1.2