AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:go-toolset/golang/golang-bin/golang-docs/golang-misc/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1785833533)

medium Nessus プラグイン ID 351931

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1785833533アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 証明書チェーンの除外サブドメイン制約は、リーフ証明書でのワイルドカード SAN の使用を制限しません。たとえば、サブドメイン test.example.com を除外する制約は、リーフ証明書が SAN *.example.com を要求することを妨げません。(CVE-2025-61727)

- HTML メタタグのコンテンツ属性に URL を挿入するアクションはエスケープされません。これにより、メタタグに値refreshのhttp-equiv属性がある場合に、XSSが許可される可能性があります。新しい GODEBUG 設定である htmlmetacontenturlescape が追加されました。これを使用して、htmlmetacontenturlescape=0 を設定することで、url= に続くメタコンテンツ属性のアクションで URL のエスケープを無効にすることができます。(CVE-2026-27142)

- CVE-2026-27142 、URL が <meta> タグの <content> 属性の内部で正しくエスケープされない脆弱性を修正しました。URL コンテンツが <content> 属性内の「=」記号の周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にこれをエスケープできず、XSS が引き起こされるおそれがありました。(CVE-2026-39823)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。