リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21593-1 アドバイザリで言及されています。

    go1.26.6 (2026 年 8 月 13 日、 bsc#1255111 日リリース) に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-33818:encoding/asn1:再帰制限が強制されないため、深くネスト化された再帰構造(bsc#1275034)を解析する際にスタック消耗が引き起こされる可能性があります。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266609)。
    - CVE-2026-56853:net/http:暗号化されていない HTTP/2 チェックを行う際のタイムアウトの欠落により、サービス拒否(bsc#1275028)が引き起こされる可能性があります。
    - CVE-2026-56858:html/template:不適切な Javascript 正規表現コンテキスト追跡により、XSS 攻撃が可能になります(bsc#1275033)。
    - CVE-2026-56859:encoding/xml:デコード操作中に再帰深度ガードがないため、スタック消耗とサービス拒否(bsc#1275026)が発生する可能性があります。
    - CVE-2026-56860:net/url:特定の入力を処理する際の「resolvePath」の二次時間複雑度により、高いメモリ割り当てオーバーヘッドとサービス拒否(bsc#1275029)が発生する可能性があります。
    - CVE-2026-56862:crypto/tls:ハンドシェイク後に送信されるハンドシェイクメッセージに制限が設定されていないため、サービス拒否(bsc#1275032)が可能になります。
    - CVE-2026-56864:x/mod/sumdb:「Lookup」で承認された認証されていないハッシュにより、GOPROXY と GOSUMDB の調整が、クライアントに悪意のあるモジュールコンテンツを提供させることが可能になります(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:不適切な透過性ログタイル検証により、細工された入力のバイパスが可能になり、悪意のあるモジュールコンテンツが受け入れられる可能性があります(bsc#1275024)。

    go1.26.6 の変更:

    - go#79876 cmd/compile:slicemask のコンパイルミスを証明します。これにより、上部ビットにガベージが残ります
    - go#80099 cmd/compile:内部コンパイラエラー Heapaddr なしで無効なヒープ割り当て var
    - go#80131 cmd/link:peCreateExportFile は、出力名の末尾にドットがある場合、無効な .def ファイルを生成します(Windows では c-shared)
    - go#80365 os:Root の MkdirAll が、フォワードスラッシュで終わるパスを作成できません
    - go#80367 os:TestRootMultiReadFile が CL 797880 より後の netbsd/arm64 で失敗します
    - go#80369 os:TestRootConsistencyRemoveAll が CL 797880 の後のプラン 9 で失敗します
    - go#80394 runtime:arm64 が、安全なコードでオブジェクトを解放するためのポインターを見つけました
    - go#80441 runtime:mach_vm_region_trampoline の間違った ABI によりレジスタが初期化されていないため、libc がガベージスタックデータをポインターとしてフォローします
    - go#80478 cmd/compile:riscv64 が構造体のコピーを間違ってコンパイルし、[]バイトスライスフィールドを破損します
    - go#80499 runtime:js/wasm:Go ヒープに不良ポインターを検出 -- 書き込みバリアバッファにポインターとして記録された link-layout-constant 値
    - go#80579 cmd/compile:regalloc は、信頼できない型データ(v.Type.IsSigned() など)を使用して、スピルの復元を選択します
    - go#80606 crypto/tls: FIPS 140-3 モードのエスケープハッチ Extended Master Secret の実施
    - go#80609 net、x/net/dns/dnsmessage:無効な SVCB レコードを解析する際のパニック
    - go#80615 cmd/compile:mips64le は、32 ビットに適合しない const により OffPtr をミスコンパイルし、パニックを引き起こします
    - go#80617 cmd/compile:mips/mips64、大きなスタックフレームで破損した HI/LO から流出した乗算/除算結果
    - go#80619 cmd/compile:バグが無効な間接呼び出しを引き起こすことを証明します
    - go#80715 ランタイム:高パニック負荷での fpTracebackPartialExpand SIGSEGV

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16 セキュリティ更新 : go1.26 (openSUSE-SU-2026:21593-1)

high Nessus プラグイン ID 338686

バージョン 1.2