SUSE SLED15 / SLES15 セキュリティ更新:go1.27(SUSE-SU-2026:4625-1)
critical Nessus プラグイン ID 365320
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4625-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。go1.27.2(bsc#1272545)への更新:
- CVE-2026-56857:os:Root.Mkdir(All) は Windows 上のルート外のジャンクションをたどることができます(bsc#1284766)。
- CVE-2026-56866:net/http:CONNECT 拒否後の HTTP/1 クライアント接続の同期解除(bsc#1284767)。
- CVE-2026-78659:net/http:Trailer ヘッダーによる HTTP/2 サーバーメモリ枯渇(bsc#1284768)。
- CVE-2026-78660:net/http:HTTP/2 トランスポートは、無効な形式のフレーミング関連ヘッダーを受け入れます(bsc#1284769)。
- CVE-2026-78663:net/http:HTTP/2 サーバーストリームでの二重フロー制御の払い戻し(bsc#1284770)。
- CVE-2026-78667:net/http:解析済み範囲ヘッダーのサイズの制限の欠如(bsc#1284771)。
- CVE-2026-78669:net/http:初期ウィンドウの変更の繰り返しによる過剰な CPU 消費(bsc#1284772)。
- CVE-2026-94439:net/http:2xx CONNECT 応答後の HTTP/1 サーバー接続の同期解除(bsc#1284773)。
- CVE-2026-94440:net/textproto、mime/multipart:MIME ヘッダーを解析する際のメモリ制限バイパス(bsc#1284774)。
- CVE-2026-94444:cmd/go:golang.org/fips140 のチェックサムバイパス(bsc#1284775)。
- CVE-2026-94447:cmd/go:golang.org/toolchain に対するチェックサムデータベースバイパス(bsc#1284776)。
- CVE-2026-94448:html/template:連続するテンプレート式のコンテキスト追跡をリセットします(bsc#1284777)。
- CVE-2026-97030:html/template:yield を正規表現の先行キーワードとして認識します(bsc#1284778)。
- CVE-2026-97031:crypto/tls:無効な形式の ECH 外部拡張参照を拒否します(bsc#1284779)。
- CVE-2026-97032:net/http:HPACK エンコーダー競合による HTTP/2 サーバークラッシュ(bsc#1284780)。
変更：
- go1.27.2(2026 年 10 月 8 日リリース)には、go コマンド、crypto/tls、html/template、net/http、net/textproto、および OS パッケージに対するセキュリティ修正に加え、コンパイラ、リンカー、ランタイム、cover ツール、go fix コマンド、vet、および compress/flate、crypto/mlkem、encoding/json、encoding/json/v2、net/http、 および OS パッケージ。
* go#81084 encoding/json:Unmarshal が Go でのフロートオーバーフローの宛先に +/-Inf を残します 1.27
* go#81145 runtime:mutex プロファイリングが、GC 中の非同期のプリエンプションWindowsデッドロックを引き起こす可能性があります
* go#81226 runtime:netpoll:eventfd は、予期しないものに備える準備ができています
* go#81229 encoding/json:json。UnsupportedValueError は、浮動小数値の代わりに無効な値を返します
* go#81233 compress/flate:プリセット辞書を持つライターは、辞書を出力ストリームに出力します
* lib/fips140 go#81252 :ML-KEM CAST を修正し、v1.26.0 を再シールします
* go#81296 cmd/compile:内部コンパイラエラー:MoveLoop が小さすぎます
* go#81306 cmd/compile:go1.27.0 の統合されたエクスポートデータがメソッドの順序を失い、objectpath を破損し、staticcheck をクラッシュします
* go#81324 プラグイン:複数のプラグインをロードすると、Go の stdlib 型が破損します 1.27
* go#81353 ランタイム:Go 1.27.0:汎用関数 + ポインタータイプパラメーター + 組み込みインターフェイスによる SIGSEGV クラッシュ
* go#81362 encoding/json:Marshal は、文字列の種類のマップキーに対して MarshalText を遵守するようになりました
* go#81374 os、internal/poll:継承されたオーバーラップした stdout パイプの NewFile が兄弟の WriteFile をハングアップさせます(Windows)
* cmd/fix、x/tools/go/analysis/passes/modernize go#81389 : ErrorsAstype はエラーを書き換えます。エラーを実装しないターゲットインターフェイスとして
* go#81402 os:最も古い Windows 10 ビルド 10240 の RemoveAll 1.25.x 回帰に移行します
* go#81411 net/http:同時応答本文の読み取りと閉じると、Go の自動ドレインでデッドロックが発生する可能性があります 1.27
* go#81437 runtime:mips64le の netpoll における断続的な SIGBUS(アラインされていないアクセス)(Go 1.27)
* go#81469 runtime:アプリバンドルの外部で実行された iOS/arm64 バイナリが起動時に作業ディレクトリを変更
* go#81515 net/http:readLoop は、Body.Close が返した後に Response.ContentLength を読み込みます
* go#81516 net/http:Response.Body.Close は、非 EOF 読み取りエラーの後に先に読み取りエラーを返します
* go#81522 net/http:応答本文のドレインによる Response.Trailer の競合
* go#81580 テスト:go test -v が go 1.27以降、t.Log 出力の ESC (0x1b) を倍増させ、一部の端末で ANSI 色を破損
* go#81666 cmd/compile:tail 呼び出しを使用する組み込みインターフェイスが、競合検出器のスタックの増加を引き起こします
* go#81667 cmd/compile:go1.27 が &slice[i] をミスコンパイルします。追加構築されたスライスのフィールド。返されたポインターエイリアスが再使用されたメモリ
* go#81706 cmd/compile:ネスト化されたビットローテーションをインライン化する際の ICE on 386(Int64Lo が下げられていません)
* go#81816 net/http:Request.TLS が HTTP/2 リクエストに対して適切に入力されていません
* go#81818 cmd/internal/obj/ppc64:BR における非同期のプリエンプションのバグ(CTR)
* go#81829 ランタイム:LockOSThread がレジストリ呼び出しをラップする際の windows/amd64 スタック破損(Go 1.27 の新機能)
* go#81832 cmd/cover:NumStmt が分割ブロック間で重複し、ステートメントカバレッジが拡大します
* go#81861 cmd/go:以前の実行で依存関係として精査されたパッケージについて、vet が診断を報告しません
* go#81890 cmd/link:プラグインmacOS 27 でオープンが失敗:LC_DYLD_CHAINED_FIXUPS seg_count DWARF を組み合わせた後に更新されません
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける go1.27、go1.27-doc および/または go1.27-race パッケージを更新してください。参考資料
https://bugzilla.suse.com/1272545
https://bugzilla.suse.com/1284766
https://bugzilla.suse.com/1284767
https://bugzilla.suse.com/1284768
https://bugzilla.suse.com/1284769
https://bugzilla.suse.com/1284770
https://bugzilla.suse.com/1284771
https://bugzilla.suse.com/1284772
https://bugzilla.suse.com/1284773
https://bugzilla.suse.com/1284774
https://bugzilla.suse.com/1284775
https://bugzilla.suse.com/1284776
https://bugzilla.suse.com/1284777
https://bugzilla.suse.com/1284778
https://bugzilla.suse.com/1284779
https://bugzilla.suse.com/1284780
https://www.suse.com/security/cve/CVE-2026-56857
https://www.suse.com/security/cve/CVE-2026-56866
https://www.suse.com/security/cve/CVE-2026-78659
https://www.suse.com/security/cve/CVE-2026-78660
https://www.suse.com/security/cve/CVE-2026-78663
https://www.suse.com/security/cve/CVE-2026-78667
https://www.suse.com/security/cve/CVE-2026-78669
https://www.suse.com/security/cve/CVE-2026-94439
https://www.suse.com/security/cve/CVE-2026-94440
https://www.suse.com/security/cve/CVE-2026-94444
https://www.suse.com/security/cve/CVE-2026-94447
https://www.suse.com/security/cve/CVE-2026-94448
https://www.suse.com/security/cve/CVE-2026-97030
https://www.suse.com/security/cve/CVE-2026-97031
プラグインの詳細
深刻度: Critical
ID: 365320
ファイル名: suse_SU-2026-4625-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/10/13
更新日: 2026/10/13
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.49
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-56857
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:go1.27-doc, p-cpe:/a:novell:suse_linux:go1.27-race, p-cpe:/a:novell:suse_linux:go1.27
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/12
脆弱性公開日: 2026/10/8
参照情報
CVE: CVE-2026-56857, CVE-2026-56866, CVE-2026-78659, CVE-2026-78660, CVE-2026-78663, CVE-2026-78667, CVE-2026-78669, CVE-2026-94439, CVE-2026-94440, CVE-2026-94444, CVE-2026-94447, CVE-2026-94448, CVE-2026-97030, CVE-2026-97031, CVE-2026-97032
SuSE: SUSE-SU-2026:4625-1