リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3816-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.26.7-1-openssl-fips のタグが付いたリビジョンの go1.25-fips-release から切り取られたバージョン 1.26.7 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-33818:encoding/asn1:深くネスト化された再帰構造を解析する際のスタック枯渇により、サービス拒否(bsc#1275034)が発生する可能性があります。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266609)。
    - CVE-2026-56853:net/http:サーバーが暗号化されていない HTTP/2 をサポートするように構成されている場合、最初のヘッダー読み取りタイムアウトが適用されないため、サービス拒否(bsc#1275028)の可能性があります。
    - CVE-2026-56858:html/template:トップレベルの「{」の後の間違った JavaScript regexp コンテキスト追跡が、XSS につながる可能性があります(bsc#1275033)。
    - CVE-2026-56859:encoding/xml:デコード操作中の再帰深度ガードバイパスによるスタックの枯渇により、サービス拒否が発生する可能性があります(bsc#1275026)。
    - CVE-2026-56860:net/url:バックトラックパス要素を処理する際の「resolvePath」の二次複雑性により、サービス拒否が発生する可能性があります(bsc#1275029)。
    - CVE-2026-56862:crypto/tls:ハンドシェイクメッセージは、TLS 1.3の非進捗レコード制限をバイパスする可能性があります。これにより、サービス拒否(bsc#1275032)が発生する可能性があります。
    - CVE-2026-56864:x/mod/sumdb:悪意のある「GOSUMDB」は、透過性ログ(bsc#1275025)に含まれていない任意のモジュールコンテンツを提供することができます。
    - CVE-2026-56865:x/mod/sumdb/tlog:悪意のある「GOPROXY」は、sumdb タイルを偽造できます。これにより、「GOSUMDB」チェックのバイパスや、攻撃者が制御するモジュールコンテンツをローカルの Go モジュールキャッシュに永続化することが可能になります(bsc#1275024)。

    その他の更新およびバグ修正:

    - go1.26.7-1-openssl-fips のタグが付いたリビジョンの go1.25-fips-release ブランチから切り取られたバージョン 1.26.7 へ更新してください:
      (jsc#SLE-18320)。
      * へのリベース 1.26.7
      * 「strictfipsruntime」を「no_openssl」でサポート
      * 複数の「no_openssl」ビルドタグの問題を修正します
    - go1.26.7(2026 年 8 月 19 日リリース、 boo#1255111):
      * go#80927 net/http:暗号化されていない「HTTP/2」ハンドオフ後も「ReadHeaderTimeout」がアクティブなまま
    - go1.26.6(2026 年 8 月 13 日リリース):
      * 「go」コマンド、「crypto/tls」、「encoding/asn1」、「encoding/xml」、「html/template」、「net」、「net/http」、「net/url」パッケージへのセキュリティ修正に加え、コンパイラ、リンカ、ランタイム、「crypto/tls」および「os」パッケージのバグ修正が含まれています。
      * go#79876 cmd/compile:「slicemask」折り畳みでの「prove」コンパイルの失敗により、上位ビットにガベージが残ります
      * go#80099 cmd/compile:内部コンパイラエラーにより、「Heapaddr」なしで無効なヒープが割り当てられた var
      * go#80131 cmd/link:出力名の末尾にドットがある場合、「peCreateExportFile」は無効な「.def」ファイルを生成します(Windowsでは「c-shared」)
      * go#80365 os:「Root」の「MkdirAll」は、フォワードスラッシュで終わるパスを作成できません
      * go#80367 os:「TestRootMultiReadFile」が CL 797880 の後の「netbsd/arm64」で失敗します
      * go#80369 os:「TestRootConsistencyRemoveAll」が CL 797880 の後のプラン 9 で失敗します
      * go#80394 runtime:「arm64」で、安全なコードを持つオブジェクト解放へのポインターが見つかりました
      * go#80441 runtime:「mach_vm_region_trampoline」の間違った ABI によりレジスタが初期化されていないため、「libc」がポインターとしてガベージスタックデータに続く原因となりました
      * go#80478 cmd/compile:「riscv64」が構造体コピーを間違ってコンパイルし、「[]byte」スライスフィールドを破損します
      * go#80499 runtime:js/wasm:「Found bad pointer in Go heap」 -- write-barrier バッファにポインターとして記録された link-layout-constant 値
      * go#80579 cmd/compile:「regalloc」は、信頼できない型データ(「v.Type.IsSigned()」など)を使用して、スピルの復元を選択します
      * go#80606 crypto/tls: FIPS 140-3 モードのエスケープハッチ Extended Master Secret の実施
      * go#80609 net、x/net/dns/dnsmessage:無効な「SVCB」レコードを解析する際のパニック
      * go#80615 cmd/compile:「mips64le」により、32 ビットに適合しない const によって「OffPtr」をミスコンパイルし、パニックを引き起こします
      * go#80617 cmd/compile:「mips」/「mips64」、大きなスタックフレームにより「HI」/「LO」から流出した結果の乗算/除算が破損
      * go#80619 cmd/compile:「prove」バグにより無効な間接呼び出しが発生します
      * go#80715 ランタイム:高パニックロードでの「fpTracebackPartialExpand」「SIGSEGV」
    - go1.26.5-2-openssl-fips のタグが付いたリビジョンの go1.25-fips-release ブランチからカットされたバージョン 1.26.5 へ更新してください:
      * 「openssl」「RandReader」の同時実行を制限します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 セキュリティ更新プログラム:go1.26-openssl(SUSE-SU-2026:3816-1)

high Nessus プラグイン ID 341640

バージョン 1.1