SUSE SLES15 セキュリティ更新 : go1.25-openssl (SUSE-SU-2026:3800-1)
high Nessus プラグイン ID 341000
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3800-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。go1.25.14-1-openssl-fips のタグ付けされたリビジョンの go1.25-fips-release ブランチから切り取られたバージョン 1.25.14 に更新してください。
修正されたセキュリティ問題:
- CVE-2026-33818:encoding/asn1:深くネスト化された再帰構造を解析する際のスタック枯渇により、サービス拒否(bsc#1275034)が発生する可能性があります。
- CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266609)。
- CVE-2026-56853:net/http:サーバーが暗号化されていない HTTP/2 をサポートするように構成されている場合、最初のヘッダー読み取りタイムアウトが適用されないため、サービス拒否(bsc#1275028)の可能性があります。
- CVE-2026-56858:html/template:トップレベルの「{」の後の間違った JavaScript regexp コンテキスト追跡が、XSS につながる可能性があります(bsc#1275033)。
- CVE-2026-56859:encoding/xml:デコード操作中の再帰深度ガードバイパスによるスタックの枯渇により、サービス拒否が発生する可能性があります(bsc#1275026)。
- CVE-2026-56860:net/url:バックトラックパス要素を処理する際の「resolvePath」の二次複雑性により、サービス拒否が発生する可能性があります(bsc#1275029)。
- CVE-2026-56862:crypto/tls:ハンドシェイクメッセージは、TLS 1.3の非進捗レコード制限をバイパスする可能性があります。これにより、サービス拒否(bsc#1275032)が発生する可能性があります。
- CVE-2026-56864:x/mod/sumdb:悪意のある「GOSUMDB」は、透過性ログ(bsc#1275025)に含まれていない任意のモジュールコンテンツを提供することができます。
- CVE-2026-56865:x/mod/sumdb/tlog:悪意のある「GOPROXY」は、sumdb タイルを偽造できます。これにより、「GOSUMDB」チェックのバイパスや、攻撃者が制御するモジュールコンテンツをローカルの Go モジュールキャッシュに永続化することが可能になります(bsc#1275024)。
その他の更新およびバグ修正:
- go1.25.14-1-openssl-fips のタグ付けされたリビジョンで go1.25-fips-release ブランチからカットされたバージョン 1.25.14 に更新してください:
(jsc#SLE-18320):
* へのリベース 1.25.14
- go1.25.14(2026 年 8 月 19 日リリース、 boo#1244485):
* go#80926 net/http:暗号化されていない HTTP/2 ハンドオフ後も「ReadHeaderTimeout」がアクティブなまま
- go1.25.13(2026 年 8 月 13 日リリース):
* 「go」コマンド、「crypto/tls」、「encoding/asn1」、「encoding/xml」、「html/template」、「net/http」、「net/url」パッケージに対するセキュリティ修正に加え、コンパイラ、ランタイム、「crypto/tls」および「os」パッケージのバグ修正を含みます。
* go#79876 cmd/compile:「slicemask」折り畳みでの「prove」のコンパイルの誤りにより、上位ビットにガベージが残ります
* go#80098 cmd/compile:内部コンパイラエラーにより、「Heapaddr」なしで無効なヒープが割り当てられた var
* go#80364 os:「Root」の「MkdirAll」は、フォワードスラッシュで終わるパスを作成できません
* go#80366 os:「TestRootMultiReadFile」が CL 797880 の後の「netbsd/arm64」で失敗します
* go#80368 os:「TestRootConsistencyRemoveAll」が CL 797880 の後のプラン 9 で失敗します
* go#80393 runtime:「arm64」で、安全なコードを持つオブジェクト解放へのポインターが見つかりました
* go#80440 runtime:「mach_vm_region_trampoline」の間違った ABI によりレジスタが初期化されていないため、「libc」がポインターとしてガベージスタックデータに続く原因となりました
* go#80477 cmd/compile:「riscv64」が構造体コピーを間違ってコンパイルし、「[]byte」スライスフィールドを破損します
* go#80500 runtime:js/wasm:「Found bad pointer in Go heap」 -- write-barrier バッファにポインターとして記録された link-layout-constant 値
* go#80578 cmd/compile:「regalloc」は、信頼できない型データ(「v.Type.IsSigned()」など)を使用して、スピルの復元を選択します
* go#80605 crypto/tls: FIPS 140-3 モードのエスケープハッチ Extended Master Secret の実施
* go#80614 cmd/compile:「mips64le」が、32 ビットに適合しない const により「OffPtr」を間違ってコンパイルし、結果としてパニックを引き起こします
* go#80616 cmd/compile:「mips」/「mips64」、大きなスタックフレームにより「HI」/「LO」から流出した結果の乗算/除算が破損
* go#80618 cmd/compile:「prove」バグにより無効な間接呼び出しが発生します
* go#80737 ランタイム:高パニックロードでの「fpTracebackPartialExpand」「SIGSEGV」
- go1.25.12-2-openssl-fips のタグが付いたリビジョンの go1.25-fips-release ブランチからカットされたバージョン 1.25.12 に更新してください:
* openssl の「RandReader」の同時実行を制限します(#374)
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける go1.25-openssl、go1.25-openssl-doc および / または go1.25-openssl-race パッケージを更新してください。参考資料
https://bugzilla.suse.com/1244485
https://bugzilla.suse.com/1266609
https://bugzilla.suse.com/1275024
https://bugzilla.suse.com/1275025
https://bugzilla.suse.com/1275026
https://bugzilla.suse.com/1275028
https://bugzilla.suse.com/1275029
https://bugzilla.suse.com/1275032
https://bugzilla.suse.com/1275033
https://bugzilla.suse.com/1275034
https://www.suse.com/security/cve/CVE-2026-33818
https://www.suse.com/security/cve/CVE-2026-39821
https://www.suse.com/security/cve/CVE-2026-56853
https://www.suse.com/security/cve/CVE-2026-56858
https://www.suse.com/security/cve/CVE-2026-56859
https://www.suse.com/security/cve/CVE-2026-56860
https://www.suse.com/security/cve/CVE-2026-56862
https://www.suse.com/security/cve/CVE-2026-56864
プラグインの詳細
深刻度: High
ID: 341000
ファイル名: suse_SU-2026-3800-1.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/8/27
更新日: 2026/8/28
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.17
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS スコアのソース: CVE-2026-56858
CVSS v3
リスクファクター: High
基本値: 8.4
現状値: 7.3
ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-56865
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:go1.25-openssl-doc, p-cpe:/a:novell:suse_linux:go1.25-openssl-race, p-cpe:/a:novell:suse_linux:go1.25-openssl
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/25
脆弱性公開日: 2026/5/12
参照情報
CVE: CVE-2026-33818, CVE-2026-39821, CVE-2026-56853, CVE-2026-56858, CVE-2026-56859, CVE-2026-56860, CVE-2026-56862, CVE-2026-56864, CVE-2026-56865
IAVB: 2026-B-0234
SuSE: SUSE-SU-2026:3800-1