リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3815-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.25.14-1-openssl-fips のタグ付けされたリビジョンの go1.25-fips-release ブランチから切り取られたバージョン 1.25.14 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2026-33818:encoding/asn1:深くネスト化された再帰構造を解析する際のスタック枯渇により、サービス拒否(bsc#1275034)が発生する可能性があります。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266609)。
    - CVE-2026-56853:net/http:サーバーが暗号化されていない HTTP/2 をサポートするように構成されている場合、最初のヘッダー読み取りタイムアウトが適用されないため、サービス拒否(bsc#1275028)の可能性があります。
    - CVE-2026-56858:html/template:トップレベルの「{」の後の間違った JavaScript regexp コンテキスト追跡が、XSS につながる可能性があります(bsc#1275033)。
    - CVE-2026-56859:encoding/xml:デコード操作中の再帰深度ガードバイパスによるスタックの枯渇により、サービス拒否が発生する可能性があります(bsc#1275026)。
    - CVE-2026-56860:net/url:バックトラックパス要素を処理する際の「resolvePath」の二次複雑性により、サービス拒否が発生する可能性があります(bsc#1275029)。
    - CVE-2026-56862:crypto/tls:ハンドシェイクメッセージは、TLS 1.3の非進捗レコード制限をバイパスする可能性があります。これにより、サービス拒否(bsc#1275032)が発生する可能性があります。
    - CVE-2026-56864:x/mod/sumdb:悪意のある「GOSUMDB」は、透過性ログ(bsc#1275025)に含まれていない任意のモジュールコンテンツを提供することができます。
    - CVE-2026-56865:x/mod/sumdb/tlog:悪意のある「GOPROXY」は、sumdb タイルを偽造できます。これにより、「GOSUMDB」チェックのバイパスや、攻撃者が制御するモジュールコンテンツをローカルの Go モジュールキャッシュに永続化することが可能になります(bsc#1275024)。

    その他の更新およびバグ修正:

    - go1.25.14-1-openssl-fips のタグ付けされたリビジョンで go1.25-fips-release ブランチからカットされたバージョン 1.25.14 に更新してください:
      (jsc#SLE-18320):
      * へのリベース 1.25.14
    - go1.25.14(2026 年 8 月 19 日リリース、 boo#1244485):
      * go#80926 net/http:暗号化されていない HTTP/2 ハンドオフ後も「ReadHeaderTimeout」がアクティブなまま
    - go1.25.13(2026 年 8 月 13 日リリース):
      * 「go」コマンド、「crypto/tls」、「encoding/asn1」、「encoding/xml」、「html/template」、「net/http」、「net/url」パッケージに対するセキュリティ修正に加え、コンパイラ、ランタイム、「crypto/tls」および「os」パッケージのバグ修正を含みます。
      * go#79876 cmd/compile:「slicemask」折り畳みでの「prove」のコンパイルの誤りにより、上位ビットにガベージが残ります
      * go#80098 cmd/compile:内部コンパイラエラーにより、「Heapaddr」なしで無効なヒープが割り当てられた var
      * go#80364 os:「Root」の「MkdirAll」は、フォワードスラッシュで終わるパスを作成できません
      * go#80366 os:「TestRootMultiReadFile」が CL 797880 の後の「netbsd/arm64」で失敗します
      * go#80368 os:「TestRootConsistencyRemoveAll」が CL 797880 の後のプラン 9 で失敗します
      * go#80393 runtime:「arm64」で、安全なコードを持つオブジェクト解放へのポインターが見つかりました
      * go#80440 runtime:「mach_vm_region_trampoline」の間違った ABI によりレジスタが初期化されていないため、「libc」がポインターとしてガベージスタックデータに続く原因となりました
      * go#80477 cmd/compile:「riscv64」が構造体コピーを間違ってコンパイルし、「[]byte」スライスフィールドを破損します
      * go#80500 runtime:js/wasm:「Found bad pointer in Go heap」 -- write-barrier バッファにポインターとして記録された link-layout-constant 値
      * go#80578 cmd/compile:「regalloc」は、信頼できない型データ(「v.Type.IsSigned()」など)を使用して、スピルの復元を選択します
      * go#80605 crypto/tls: FIPS 140-3 モードのエスケープハッチ Extended Master Secret の実施
      * go#80614 cmd/compile:「mips64le」が、32 ビットに適合しない const により「OffPtr」を間違ってコンパイルし、結果としてパニックを引き起こします
      * go#80616 cmd/compile:「mips」/「mips64」、大きなスタックフレームにより「HI」/「LO」から流出した結果の乗算/除算が破損
      * go#80618 cmd/compile:「prove」バグにより無効な間接呼び出しが発生します
      * go#80737 ランタイム:高パニックロードでの「fpTracebackPartialExpand」「SIGSEGV」
    - go1.25.12-2-openssl-fips のタグが付いたリビジョンの go1.25-fips-release ブランチからカットされたバージョン 1.25.12 に更新してください:
      * openssl の「RandReader」の同時実行を制限します(#374)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 セキュリティ更新プログラム:go1.25-openssl(SUSE-SU-2026:3815-1)

high Nessus プラグイン ID 341654

バージョン 1.1