AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:go-toolset/golang/golang-bin/golang-docs/golang-misc/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1781080840)

medium Nessus プラグイン ID 352453

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1781080840アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- go tool pack サブコマンド(通常、既知の良好な入力がある内部ツールとしてコンパイラによってのみ使用されます)は、出力ファイル名をサニタイズしません。packサブコマンドを使用して悪意のあるアーカイブファイルを抽出すると、ファイルシステム上の任意の場所にファイルが書き込まれる可能性があります。(CVE-2026-39817)

- go bugコマンドは、システムの一時ディレクトリ(/tmpなど)にある予測可能な名前を持つ2つのファイルに書き込みます。一時ディレクトリへのアクセス権を持つ攻撃者がこれらの名前のいずれかでシンボリックリンクを作成し、goバグにシンボリックリンクのターゲットを上書きさせる可能性があります。(CVE-2026-39819)

- ReverseProxy は、Rewrite 関数に表示されないパラメーターを含むクエリを転送する可能性があります。ReverseProxy を Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用する場合、転送されるリクエストがサニタイズされ、url.ParseQuery によって解析されないクエリパラメーターが削除されます。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される) クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。そのため、ReverseProxy が、Rewrite 関数に認識されないクエリパラメーターを含むリクエストを転送することが可能になります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y を指定すると、パラメーター hidden=y をプロキシの Rewrite 関数から隠して転送できます。(CVE-2026-39825)

- 信頼できるテンプレート作成者が、空の「type」属性または ASCII 空白のある「type」属性を含む <script> タグを書き込む場合、テンプレートの実行により <script> ブロックに渡されるデータを不適切にエスケープする可能性があります。(CVE-2026-39826)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。