SUSE SLED15 / SLES15 セキュリティ更新:go1.27(SUSE-SU-2026:3830-1)
high Nessus プラグイン ID 341653
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3830-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- go1.27.0(2026 年 8 月 19 日リリース)は Go のメジャーリリースです。
go1.27.x のマイナーリリースは、2027 年 8 月まで提供されます。
https://github.com/golang/go/wiki/Go-Release-Cyclego1.27 Go 1.26 から 6 か月後に到着します。変更のほとんどは、ツールチェーン、ランタイム、およびライブラリの実装に含まれています。これまでどおり、このリリースはGo 1の互換性保証を維持します。ほとんどすべての Go プログラムが、以前と同様にコンパイルと実行を続けることを期待しています。(bsc#1272545)
*言語の変更:Go 1.27 がジェネリックメソッドをサポートするようになりました:メソッド宣言は独自の型パラメーターを宣言できます。この広く予想されていた変更により、以前はパッケージ全体のスコープでそのような関数を宣言する必要があった、特定のデータ型の名前空間内にジェネリック関数を追加することが可能になりました。
* 言語変更:構造体リテラルのキーは、現在、構造体の(最上位の)フィールド名だけでなく、構造体タイプに対して有効な任意のフィールドセレクターになる可能性があります。
* 言語の変更:関数型推論は一般化され、ジェネリック関数が一致する関数型の変数に割り当てられる(または変換される)すべてのコンテキストに適用されます。
* ツール:コンパイル、リンク、asm、cgo、cover、およびパックのツールで応答ファイル(@file)の解析がサポートされるようになりました。応答ファイルには、空白で区切られた引数が含まれており、一重引用符付きおよび二重引用符付き文字列、エスケープシーケンス、バックスラッシュ改行の継続に対応します。この形式は GCC 応答ファイルの実装と互換性があり、既存のビルドシステムとの相互運用性を確保しています。
* go コマンド:go コマンドは、bzr バージョンコントロールシステムをサポートしなくなりました。今後、bzr サーバーでホストされているモジュールを直接フェッチできなくなります。
* godebug:Go 1.27 から、go.mod ファイル(godebug エントリ)および .go ソースファイル(//go:debug コメント)に表示される場合に、サポートが削除された GODEBUG 設定(asynctimerchan、下記参照)を go コマンドが認識するようになりました。これらの設定が、設定が削除される前に確立された最終的なデフォルト値に設定されている場合、これらの設定が受け入れられます。古い値に設定されている場合、go コマンドは失敗します。この変更は Go 1 互換性保証の精神に則ったもので、それぞれの設定サポートが削除されていても、サポートされている GODEBUG 設定を行う既存のプログラムを変更なしで構築および実行し続けることができます。
* go test:go test がデフォルトで stdversion vet チェックを呼び出すようになりました。これは、go.mod の go ディレクティブとファイルのビルドタグによって判断されるとおり、参照先ファイルで有効な Go バージョンには新しすぎる標準ライブラリ記号の使用を報告します。
* go test:go test -json は現在、「Action':output」行にオプションの新しいフィールド「OutputType」で注釈を付け、出力のタイプを指定するようになりました。現在、可能な値には error、error-continue、および frame が含まれます。詳細については、cmd/test2json ヘルプを参照してください。
* go doc:go docコマンドは、go doc example.com/[email protected] などのpackage@version構文をサポートするようになりました。
* go doc:go doc コマンドが、-ex コマンドラインオプションを受け入れて、指定されたパッケージまたはシンボルの実行可能な例を一覧表示するようになりました。サンプル名がコマンドラインで渡されるとき(go doc bytesなど。ExampleBuffer)、go doc は、サンプルソースコードをコメントとともに出力するようになりました。
* go fix:go fix コマンドには、いくつかの新しいモダナイザー(atomictypes、embedlit、slicesbackward、unsafefuncs)が含まれています。
* go 修正:スタイル上の懸念により、既存の fmtappendf アナライザーが削除されました。
* go 修正:あいまいさを避けるために、既存の waitgroup アナライザーの名前が waitgroupgo に変更されました。
* go mod tidy:go.mod ファイルで go 1.27 以降を指定するモジュールの場合、go mod tidy が重複する require ブロックを自動的にマージするようになりました。これにより、ファイルは、最大 2 つの require ブロック (直接依存関係用と間接依存関係用) を含むクリーンな標準構造が維持されます。
* go mod 修正:依存関係に添付された既存のコメントブロックは、この統合中に保存されます。コメントブロックが (直接的および間接的な依存関係を含む) ディレクティブの混合セットに関連付けられている場合、コメントブロックはマージされ、新しい直接依存関係ブロックに添付されます。
* go mod の修正:以前は、go.mod ファイルに複数のばらばらばらのリクエストブロックが蓄積された場合(多くの場合、手動編集、未解決の Git マージ競合、またはレガシーアップグレードが原因)、go mod tidy が余分なブロックをそのまま残したり、うっかり新しいブロックを作成したりしていました。現在、このツールは 2 ブロックのレイアウトを厳格に適用し、異種の要件をそれぞれのブロックに統合し、モジュール ファイルの構造を自動的にクリーンアップします。
* go ツールトレース:go ツールトレース -http コマンドラインオプションは、ポートのみを受け渡した場合に、リッスンアドレスをローカルホストに制限するようになりました(例: -http=:6060)。この変更により、goツールトレースはgoツールのpprofs -httpフラグの動作と一致するようになります。すべてのアドレスでリッスンするには、指定されたアドレスを明示的に含めます (例: -http=0.0.0.0:6060)。
* runtime:Go 1.27 以降を構成するgoディレクティブを持つモジュールのトレースバックで、ヘッダー行にruntime/pprof goroutineラベルが含まれます。この動作は、tracebacklabels=0 GODEBUG設定(Go 1.26に追加)で無効にできます。このオプトアウトは、goroutineラベルがトレースバックで利用可能にすべきではない秘密情報を取得する場合に備えて、無期限に保持される予定です。
* runtime:asynctimerchan GODEBUG 設定(Go 1.23 で追加)が完全に削除されました。パッケージ時間までに作成されたチャネルは、GODEBUG 設定に関係なく、常にバッファなし(同期)になりました。
* runtime:メモリ割り当ての高速化。コンパイラは、サイズに特化したメモリ割り当てルーチンへの呼び出しを生成するようになり、一部の小さい(<80 バイト)メモリ割り当てのコストを最大 30% 削減します。改善はワークロードによって異なりますが、実際の割り当てを多用するプログラムでは、全体的な改善は~1%になると予想されます。これにより、バイナリサイズが(ワークロードとは無関係に)約60KB増加します。回帰に気付いた場合は、問題を提出してください。ビルド時に GOEXPERIMENT=nosizespecializedmalloc を設定して無効にすることができます。このオプトアウト設定は、Go 1.28では削除される予定です。
* runtime:Goroutine 漏洩プロファイル。漏洩した goroutine をレポートする新しいプロファイルタイプが、以前は Go 1.26 での実験として利用可能でしたが、現在は一般公開されています。goroutineleak という名前の新しいプロファイルタイプが、runtime/pprof パッケージでサポートされています。これは、net/http/pprof エンドポイント /debug/pprof/goroutineleak としても利用可能です。漏洩した goroutine は、何らかの同時実行プリミティブ(チャネル、同期、mutex、同期。Cond など) の欠陥を発見しました。ブロックを解除することはできません。ランタイムは、ガベージコレクタを使用して漏洩した goroutine を検出します:goroutine G が同時実行プリミティブ P でブロックされており、実行可能な goroutine またはそれらがブロックを解除できる goroutine から P に到達できない場合、P はブロックを解除できないため、goroutine G は決してウェイクアップできません。すべての場合において、永続的にブロックされた goroutine を検出することはできませんが、このアプローチでは、そのような漏洩の大きなクラスを検出できます。この手法は到達可能性に基づいて構築されているため、ランタイムは、グローバル変数または実行可能な goroutine のローカル変数を通じて到達可能な同時実行プリミティブをブロックすることで発生した漏洩を特定できない場合があります。この作業に貢献してくれた Uber の Vlad Saioc 氏に特に感謝の意を表します。goroutineleakprofile GOEXPERIMENT 設定は削除されました。
* compiler:コンパイラは、go/scannerの動作と一致して、ディレクティブを含むファイルのディレクトリに対する//lineまたは/*line*/ディレクティブの相対ファイル名を解決するようになりました。絶対ファイル名は影響を受けません。#70478 を参照。
* コンパイラ:コンパイラは、関数リテラル(クロージャ)のよりシンプルな名前を生成するようになりました。以前は、含まれている関数がインライン化されると、関数リテラル名が非常に長くなる可能性がありました。現在、コンパイラはインライン化に関係なく、関数リテラルに同じ名前を選択します。また、同じ関数リテラルの複数のインスタンスを組み合わせて(含まれている関数がインラインであるため)、コンパイルされたバイナリで同じコードを共有することもできます。この変更は Go コードの機能には影響しません。シンボル名をチェックするテストは更新が必要な場合がありますが、関数リテラルの名前に依存しないことをお勧めします。関数コードポインターの等価性を不適切に比較するプログラムの場合、キャプチャされたクロージャデータが異なる関数リテラルが等しいコードポインターを持つ場合が多いため、Go 1.27でこの問題がより露呈する可能性があります。
* linker:macOSをターゲットにする場合、リンカーは-macosと
-macsdk コマンドラインオプション。LC_BUILD_VERSIONロードコマンドで OS と SDK のバージョンを指定します。デフォルトでは、サポートされている最も古い macOS バージョン (現在 13.0.0) と最新の SDK バージョン (現在 26.2.0) が選択されます。
* 標準ライブラリ:新しい encoding/json/v2 および encoding/json/jsontext パッケージ
* 標準ライブラリ:encoding/json/v2 パッケージは、encoding/json の重要なリビジョンです。Marshal、MarshalWrite、MarshalEncode、Unmarshal、UnmarshalRead、UnmarshalDecodeが提供され、これらはすべて、マーシャリングとマーシャリング解除の動作を構成するvariadic Options引数を受け入れます。v2 パッケージは、v1 よりも厳密で相互運用性のあるデフォルトを選択します。JSON 文字列内の無効な UTF-8 を拒否し、JSON オブジェクト内の重複する名前を拒否します。動作の違いの完全なセットと、それらを調整するために使用できるオプションについては、v1 encoding/json パッケージのドキュメントを参照してください。マーシャルのパフォーマンスは以前の実装とほぼ同等ですが、アンマーシャルのパフォーマンスは大幅に高速です。新しい実装で互換性の問題に直面したユーザーは、ビルド時に GOEXPERIMENT=nojsonv2 を設定し、元の v1 実装を復元することで、新しい実装を無効にできます。このオプトアウトは、今後のリリースで削除される予定です。
* 標準ライブラリ:encoding/json/jsontext パッケージは、JSON の低レベルの構文処理を提供します。エンコーダー型とデコーダー型は、トークンと値のシーケンスとしてJSONで動作し、生成または消費されたシーケンスが有効なJSONテキストであることを保証するステートマシンを維持します。encoding/json パッケージは、v2 実装でサポートされるようになりました。マーシャリングとマーシャリング解除の動作は保持されますが、エラー メッセージの正確なテキストは異なる場合があります。また、このパッケージには、v2 を v1 セマンティクスと動作するように構成して、新しい API への完全な移行を回避できる、多数の新しいオプションが追加されています。v1 API は引き続きサポートされ、ユーザーは移行する必要はありません。マーシャルのパフォーマンスは以前の実装とほぼ同等ですが、アンマーシャルのパフォーマンスは大幅に高速です。
* crypto:新しい crypto/mldsa パッケージは、FIPS 204 で指定されたポストクォンタム ML-DSA 署名スキームを実装します。
* crypto:crypto/x509 が ML-DSA 秘密鍵、公開鍵、署名をサポートするようになりました。
* crypto:crypto/tls は、新しい MLDSA44、MLDSA65、MLDSA87 SignatureScheme の値で、TLS 1.3 の ML-DSA 署名をサポートするようになりました。
* uuid:新しい uuid パッケージが UUID を生成し、解析します。
* simd(実験的):新しい実験的 simd パッケージ。Go 1.27 は、ポータブルでベクトルサイズにとらわれない SIMD サポートを提供する新しい実験的 simd パッケージを導入します。ハードウェアの命令が利用できる場合は、それを利用します。このパッケージは、ビルド時に環境変数 GOEXPERIMENT=simd を設定することで有効になります。simd パッケージはすべてのアーキテクチャで利用でき、Int8s や Float32s などの特定されないサイズのベクトル型を提供します。これは、ハードウェアでサポートされているか、アーキテクチャやベクトル幅をまたがって容易にエミュレートできる、simd/archsimd パッケージに存在する操作のスケーラブルなサブセットをサポートします。
* simd/archsimd(実験的):Go 1.27 は、Go 1.26 で開始された simd/archsimd パッケージでの SIMD 操作の実験的サポートを継続します。このリリースでは amd64 API が改訂され、arm64 Neon 128 ビット SIMD および WebAssembly 128 ビット SIMD のサポートが追加されます。simd/archsimd パッケージは、ビルド時に環境変数 GOEXPERIMENT=simd を設定することで有効になります。このパッケージは、アーキテクチャ固有の SIMD 操作へのアクセスを提供します。これは、wasm、arm64、amd64 で 128 ビットのベクトルタイプをサポートし、一部の amd64 プロセッサで 256 ビットと 512 ビットのベクトルタイプをサポートします。API はまだ安定しているとは見なされていません。今後のバージョンで追加のアーキテクチャのサポートを提供する予定ですが、API は意図的にアーキテクチャ固有であるため、移植可能ではありません。
* bytes:新しい CutLast 関数は、最後に出現した区切り文字の周囲の []バイトをスライスします。これは、LastIndexのいくつかの一般的な使用法を置き換えて簡素化できます。
* compress/flate:Go 1.27で圧縮速度が向上します。エンコーダー実装の変更の結果、Writerからの正確なエンコードされた出力はGo 1.26 と異なる場合があります。DEFLATE は archive/zip、compress/gzip、compress/zlib、および image/png で使用される基礎となる圧縮であるため、これらのパッケージからの出力も変更されている可能性があります。
* crypto:外部 mu ML-DSA 署名のシグナリングメカニズムとして使用するために、新しい MLDSAMu ハッシュ値が追加されます。
* crypto/ecdsa:nilではないSignerOptsが提供された場合、PrivateKey.Signがハッシュの長さが正しいかどうかをチェックするようになりました。
* crypto/tls:新しい QUICConfig.ClientHelloInfoConn フィールドはネットを指定します。QUIC サーバーハンドシェイク中に ClientHelloInfo.Conn フィールドに使用する Conn。
* crypto/tls: MLKEM1024 鍵交換がサポートされるようになりました。Config.CurvePreferencesに追加することで有効にできます。
* crypto/tls:Config.Rand は廃止されました。決定論的テストの場合は、testing/cryptotest を使用します。SetGlobalRandom。
* crypto/tls:ポストクォンタムハイブリッド鍵交換は、tlsmlkem=0 または tlssecpmlkem=0 GODEBUG オプションを使用する場合でも、Config.CurvePreferences で明示的に有効にできるようになりました。これらのオプションは、Config.CurvePreferences が nil のときに使用されるデフォルトのセットにのみ適用されることが常に意図されていました。
* crypto/tls:新しい ConnectionState.LocalCertificate フィールドには、ハンドシェイク中に接続ピアに表示される証明書チェーンが含まれています。
* crypto/tls:tlsunsafeekm(Go 1.22 で追加)、tlsrsakex(Go 1.22 で追加)、tls3des(Go 1.23 で追加)、tls10server(Go 1.22 で追加)、および x509keypairleaf(Go 1.23 で追加)の GODEBUG 設定が完全に削除されました。
* crypto/x509:pkix に解析する際。名前フィールド、より広い範囲の pkix。AttributeTypeAndValue.Value タイプがサポートされ、未知のタイプが asn1 に解析されるようになりました。RawValue です。
* crypto/x509:新しい Certificate.RawSignatureAlgorithm、CertificateRequest.RawSignatureAlgorithm、および RevocationList.RawSignatureAlgorithm のフィールドが、SignatureAlgorithm フィールドが UnknownSignatureAlgorithm の場合を含めて、署名アルゴリズムの DER でエンコードされた AlgorithmIdentifier を公開します。
* crypto/x509:SystemCertPool は、Windows および Darwin で SSL_CERT_FILE および SSL_CERT_DIR を反映するようになりました。これらの環境変数を設定すると、ルートがディスクからロードされ、プラットフォーム証明書検証APIを使用する代わりに、ネイティブのGo検証機能が使用されます。この動作は、GODEBUG=x509sslcertoverrideplatform=0 で無効にできます。
* crypto/x509/pkix:RDNSequence.String(したがって Name.String)は、属性 OID が認識されない場合でも、文字列型の属性値を文字列としてレンダリングするようになりました。以前は、このような値は、常に DER 形式で 16 進値エンコードされていました。#33093 を参照。
* database/sql:新しい ConvertAssign 関数は、データベースドライバーに Rows.Scan によって実行される型変換へのアクセスを与えます。
* database/sql/driver:ドライバーは新しい RowsColumnScanner インターフェイスを実装して、ユーザーが提供した直接の宛先をスキャンする場合があります。
* go/constant:新しい StringLen 関数は、値を完全に構築せずに、文字列値の長さを返します。
* go/scanner: スキャナーで、新しい Scanner.End メソッドを介してトークンの終了位置を取得できるようになりました。
* go/token:ファイルに String メソッドがあるようになりました。
* go/types:Hasher 型は maphash の実装です。同一等価関係を尊重し、ハッシュテーブルや類似のデータ構造で型を使用できるようにする型のハッシャー。HasherIgnoreTags は、IdenticalIgnoreTags の類似のハッシャーです。
* go/types:gotypesaliasのGODEBUG設定(Go 1.22で追加)が完全に削除され、go/typesパッケージはGODEBUG設定に関係なくエイリアス宣言用に常にエイリアスタイプノードを生成するようになりました。
* hash/maphash:Hasher インターフェイスタイプは、特定のタイプの値と、ハッシュテーブルやブルームフィルターなどの将来のハッシュベースのデータ構造との間の契約を定義します。 #70471を参照してください。
* hash/maphash:ComparableHasher 型は、Equal メソッドが == として定義されている比較可能な型に対して、Hasher の便利な実装を提供します。
* math/big:Int には、2 つの Int 値の商と余りを計算するための除算メソッドがあります。丸めモードの Trunc、Floor、Round、Ceil をサポートしています。
* math/rand/v2:Rand は、トップレベルの N 関数の動作と一致するジェネリックメソッド N をサポートするようになりました。
* net:UnixConn の読み込みメソッドが io を返すようになりました。EOF をネットでラップするのではなく直接使用します。下層の読み取りが EOF を返すときの OpError。
* net/http:トランスポートおよびサーバーが、ユーザー提供の net での TLS ALPN プロトコルネゴシエーションをサポートします。Conn 接続は、ConnectionState() TLS を実装します。ConnectionState メソッド。
* net/http:HTTP/2 サーバーは、RFC 9218 で定義されているクライアント優先度シグナルを受け入れるようになり、より高い優先度で HTTP/2 ストリームの提供を優先できるようになりました。優先度に関係なくストリームがラウンドロビン方式で提供される古い動作が好ましい場合は、Server.DisableClientPriorityをtrueに設定できます。
* net/http:HTTP/1 Response.Body は、接続の再利用を改善するために、閉じられたときに、控えめな上限まで、未読コンテンツを自動的に排出するようになりました。ほとんどのプログラムでは、この変更はノーオペレーションであるか、パフォーマンスの向上をもたらします。まれなケースですが、接続の再利用の恩恵を受けられないプログラムで、過剰な量のアイドル接続が残ることを不適切に許していた場合、パフォーマンスの低下が発生することがあります。通常、Transport.MaxIdleConnsを0に設定するか、異なるリクエストに対して異なるクライアントを使用して、Transport.MaxIdleConnsの制限をバイパスします。このような場合、Transport.DisableKeepAlivesをtrueに設定すると、接続の再利用が無効になります。ただし、このようなパフォーマンスの低下は通常、そもそもトランスポートまたはクライアントの構成または使用が不適切であることを示しており、より詳細に調べることが有益である可能性があります。
* net/http:新しい Server.MaxHeaderValueCount フィールドにより、HTTP サーバーが受け入れるヘッダー値の数を制御できます。設定されていない場合、DefaultMaxHeaderValueCount が使用されます。
* net/http/httptest: 新しい NewTestServer 関数は、testing/synctest パッケージでの使用に適したメモリ内の偽のネットワークを使用するように構成されたサーバーを作成します。
* net/url:新しい URL。Clone メソッドは、URL のディープコピーを作成します。新しい Values.Clone メソッドは、Values のディープ コピーを作成します。
* runtime/secret:秘密モード中に作成された Goroutine 自体が秘密モードで実行されるようになります。
* strings:新しい CutLast 関数は、最後に出現した区切り文字の周囲の文字列をスライスします。これは、LastIndexのいくつかの一般的な使用法を置き換えて簡素化できます。
* syscall:Plan 9 で、Errno タイプが定義され、他のプラットフォームと同様にエラーインターフェイスが実装されるようになりました。プラン 9 システムコールは ErrorString 値を返すため、プラン 9 のこのパッケージにより Errno が返されることはありません。これは、ポータブルコードがsyscallを参照するように定義されています。Errno は、ビルド制約なしでプラン 9 でビルドします。
* testing/synctest:新しい Sleep helper 関数は時間を結合します。スリープおよび同期テスト。待ってください。
* unicode:システム全体での unicode パッケージと関連サポートが、Unicode 15 から Unicode 17 にアップグレードされました。変更の詳細については、Unicode 16.0.0 および Unicode 17.0.0 リリースノートを参照してください。
* ポート:Darwin:Go 1.26 リリースノートでお知らせされているように、Go 1.27 にはmacOS 13 Ventura以降が必要です。以前のバージョンのサポートは終了しています。
* ポート:PowerPC:Linux 上のビッグエンディアン 64 ビット PowerPC ポート(GOOS=linux GOARCH=ppc64)で、Go ツールチェーンが ELFv2 システム ABI を使用するバイナリを生成するようになりました。ELFv2のサポートにはLinuxカーネル 3.13 以降が必要です。RHEL7 では、このサポートが 3.10 カーネルにバックポートされています。
* ポート:PowerPC:Cgo、位置に依存しない実行可能ファイル(PIE)、および外部リンクがサポートされるようになりました。これらの機能を使用するには、ELFv2 互換のランタイム(libc およびリンクおよびロードされたすべてのライブラリ)が必要です。
* ポート:PowerPC: cgo を使用しないプログラムの場合、Go ツールチェーンはデフォルトで依然として内部リンク付きの静的バイナリを生成します。cgo オプションがあるプログラムで、静的な pure-Go バイナリが必要な場合、go build の実行時に環境変数 CGO_ENABLED=0 を設定できます。
- CVE-2026-56853 CVE-2026-39821 CVE-2026-56862 CVE-2026-56859 CVE-2026-56860 CVE-2026-56865 CVE-2026-56864 CVE-2026-33818 CVE-2026-56858
* go#80205 bsc#1275028 セキュリティ: CVE-2026-56853 net/http を修正します:暗号化されていない HTTP/2 チェックを実行する際に ReadHeaderTimeout を適用します
* セキュリティ go#78760 bsc#1266609 :x/net/idna CVE-2026-39821 修正:ASCII のみの Punycode エンコードラベルを拒否できない
* go#80528 bsc#1275032 セキュリティ: CVE-2026-56862 crypto/TLS を修正します:ハンドシェイク後に受け入れるハンドシェイクメッセージを制限します
* go#80481 bsc#1275026 セキュリティ: CVE-2026-56859 encoding/xml を修正:デコード中に再帰深度ガードを追加します
* go#80494 bsc#1275029 セキュリティ: CVE-2026-56860 net/url を修正:resolvePath の二次複雑性を回避
* go#80744 bsc#1275024 セキュリティ:x/mod/sumdb/tlog CVE-2026-56865 を修正します:透過ログタイル検証のバイパスを修正します
* go#80745 bsc#1275025 セキュリティ:x/mod/sumdb CVE-2026-56864 修正:検索で無関係の認証されていないハッシュを無視します
* go#80405 bsc#1275034 セキュリティ: CVE-2026-33818 encoding/asn1 を修正します:最大の再帰深度を強制します
* go#80435 bsc#1275033 セキュリティ: CVE-2026-56858 html/template の修正:Javascript 正規表現のコンテキストトラッキングを修正します
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける go1.27、go1.27-doc および/または go1.27-race パッケージを更新してください。参考資料
https://bugzilla.suse.com/1266609
https://bugzilla.suse.com/1272545
https://bugzilla.suse.com/1275024
https://bugzilla.suse.com/1275025
https://bugzilla.suse.com/1275026
https://bugzilla.suse.com/1275028
https://bugzilla.suse.com/1275029
https://bugzilla.suse.com/1275032
https://bugzilla.suse.com/1275033
https://bugzilla.suse.com/1275034
https://www.suse.com/security/cve/CVE-2026-33818
https://www.suse.com/security/cve/CVE-2026-39821
https://www.suse.com/security/cve/CVE-2026-56853
https://www.suse.com/security/cve/CVE-2026-56858
https://www.suse.com/security/cve/CVE-2026-56859
https://www.suse.com/security/cve/CVE-2026-56860
https://www.suse.com/security/cve/CVE-2026-56862
https://www.suse.com/security/cve/CVE-2026-56864
プラグインの詳細
深刻度: High
ID: 341653
ファイル名: suse_SU-2026-3830-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/8/31
更新日: 2026/8/31
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.17
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS スコアのソース: CVE-2026-56858
CVSS v3
リスクファクター: High
基本値: 8.4
現状値: 7.3
ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-56865
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:go1.27-doc, p-cpe:/a:novell:suse_linux:go1.27-race, p-cpe:/a:novell:suse_linux:go1.27
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/26
脆弱性公開日: 2026/5/12
参照情報
CVE: CVE-2026-33818, CVE-2026-39821, CVE-2026-56853, CVE-2026-56858, CVE-2026-56859, CVE-2026-56860, CVE-2026-56862, CVE-2026-56864, CVE-2026-56865
SuSE: SUSE-SU-2026:3830-1