openSUSE 16 セキュリティ更新 : go1.26 (openSUSE-SU-2026:21593-1)
high Nessus プラグイン ID 338686
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21593-1 アドバイザリで言及されています。go1.26.6 (2026 年 8 月 13 日、 bsc#1255111 日リリース) に更新してください。
修正されたセキュリティ問題:
- CVE-2026-33818:encoding/asn1:再帰制限が強制されないため、深くネスト化された再帰構造(bsc#1275034)を解析する際にスタック消耗が引き起こされる可能性があります。
- CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266609)。
- CVE-2026-56853:net/http:暗号化されていない HTTP/2 チェックを行う際のタイムアウトの欠落により、サービス拒否(bsc#1275028)が引き起こされる可能性があります。
- CVE-2026-56858:html/template:不適切な Javascript 正規表現コンテキスト追跡により、XSS 攻撃が可能になります(bsc#1275033)。
- CVE-2026-56859:encoding/xml:デコード操作中に再帰深度ガードがないため、スタック消耗とサービス拒否(bsc#1275026)が発生する可能性があります。
- CVE-2026-56860:net/url:特定の入力を処理する際の「resolvePath」の二次時間複雑度により、高いメモリ割り当てオーバーヘッドとサービス拒否(bsc#1275029)が発生する可能性があります。
- CVE-2026-56862:crypto/tls:ハンドシェイク後に送信されるハンドシェイクメッセージに制限が設定されていないため、サービス拒否(bsc#1275032)が可能になります。
- CVE-2026-56864:x/mod/sumdb:「Lookup」で承認された認証されていないハッシュにより、GOPROXY と GOSUMDB の調整が、クライアントに悪意のあるモジュールコンテンツを提供させることが可能になります(bsc#1275025)。
- CVE-2026-56865:x/mod/sumdb/tlog:不適切な透過性ログタイル検証により、細工された入力のバイパスが可能になり、悪意のあるモジュールコンテンツが受け入れられる可能性があります(bsc#1275024)。
go1.26.6 の変更:
- go#79876 cmd/compile:slicemask のコンパイルミスを証明します。これにより、上部ビットにガベージが残ります
- go#80099 cmd/compile:内部コンパイラエラー Heapaddr なしで無効なヒープ割り当て var
- go#80131 cmd/link:peCreateExportFile は、出力名の末尾にドットがある場合、無効な .def ファイルを生成します(Windows では c-shared)
- go#80365 os:Root の MkdirAll が、フォワードスラッシュで終わるパスを作成できません
- go#80367 os:TestRootMultiReadFile が CL 797880 より後の netbsd/arm64 で失敗します
- go#80369 os:TestRootConsistencyRemoveAll が CL 797880 の後のプラン 9 で失敗します
- go#80394 runtime:arm64 が、安全なコードでオブジェクトを解放するためのポインターを見つけました
- go#80441 runtime:mach_vm_region_trampoline の間違った ABI によりレジスタが初期化されていないため、libc がガベージスタックデータをポインターとしてフォローします
- go#80478 cmd/compile:riscv64 が構造体のコピーを間違ってコンパイルし、[]バイトスライスフィールドを破損します
- go#80499 runtime:js/wasm:Go ヒープに不良ポインターを検出 -- 書き込みバリアバッファにポインターとして記録された link-layout-constant 値
- go#80579 cmd/compile:regalloc は、信頼できない型データ(v.Type.IsSigned() など)を使用して、スピルの復元を選択します
- go#80606 crypto/tls: FIPS 140-3 モードのエスケープハッチ Extended Master Secret の実施
- go#80609 net、x/net/dns/dnsmessage:無効な SVCB レコードを解析する際のパニック
- go#80615 cmd/compile:mips64le は、32 ビットに適合しない const により OffPtr をミスコンパイルし、パニックを引き起こします
- go#80617 cmd/compile:mips/mips64、大きなスタックフレームで破損した HI/LO から流出した乗算/除算結果
- go#80619 cmd/compile:バグが無効な間接呼び出しを引き起こすことを証明します
- go#80715 ランタイム:高パニック負荷での fpTracebackPartialExpand SIGSEGV
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける go1.26 および/または go1.26-race パッケージを更新してください。参考資料
https://bugzilla.suse.com/1255111
https://bugzilla.suse.com/1266609
https://bugzilla.suse.com/1275024
https://bugzilla.suse.com/1275025
https://bugzilla.suse.com/1275026
https://bugzilla.suse.com/1275028
https://bugzilla.suse.com/1275029
https://bugzilla.suse.com/1275032
https://bugzilla.suse.com/1275033
https://bugzilla.suse.com/1275034
https://www.suse.com/security/cve/CVE-2026-33818
https://www.suse.com/security/cve/CVE-2026-39821
https://www.suse.com/security/cve/CVE-2026-56853
https://www.suse.com/security/cve/CVE-2026-56858
https://www.suse.com/security/cve/CVE-2026-56859
https://www.suse.com/security/cve/CVE-2026-56860
https://www.suse.com/security/cve/CVE-2026-56862
プラグインの詳細
深刻度: High
ID: 338686
ファイル名: openSUSE-2026-21593-1.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/8/21
更新日: 2026/8/21
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.17
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS スコアのソース: CVE-2026-39821
CVSS v3
リスクファクター: High
基本値: 8.4
現状値: 7.3
ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-56865
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:go1.26-race, p-cpe:/a:novell:opensuse:go1.26
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/19
脆弱性公開日: 2026/5/12
参照情報
CVE: CVE-2026-33818, CVE-2026-39821, CVE-2026-56853, CVE-2026-56858, CVE-2026-56859, CVE-2026-56860, CVE-2026-56862, CVE-2026-56864, CVE-2026-56865
IAVB: 2026-B-0234