リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4625-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.27.2(bsc#1272545)への更新:

    - CVE-2026-56857:os:Root.Mkdir(All) は Windows 上のルート外のジャンクションをたどることができます(bsc#1284766)。
    - CVE-2026-56866:net/http:CONNECT 拒否後の HTTP/1 クライアント接続の同期解除(bsc#1284767)。
    - CVE-2026-78659:net/http:Trailer ヘッダーによる HTTP/2 サーバーメモリ枯渇(bsc#1284768)。
    - CVE-2026-78660:net/http:HTTP/2 トランスポートは、無効な形式のフレーミング関連ヘッダーを受け入れます(bsc#1284769)。
    - CVE-2026-78663:net/http:HTTP/2 サーバーストリームでの二重フロー制御の払い戻し(bsc#1284770)。
    - CVE-2026-78667:net/http:解析済み範囲ヘッダーのサイズの制限の欠如(bsc#1284771)。
    - CVE-2026-78669:net/http:初期ウィンドウの変更の繰り返しによる過剰な CPU 消費(bsc#1284772)。
    - CVE-2026-94439:net/http:2xx CONNECT 応答後の HTTP/1 サーバー接続の同期解除(bsc#1284773)。
    - CVE-2026-94440:net/textproto、mime/multipart:MIME ヘッダーを解析する際のメモリ制限バイパス(bsc#1284774)。
    - CVE-2026-94444:cmd/go:golang.org/fips140 のチェックサムバイパス(bsc#1284775)。
    - CVE-2026-94447:cmd/go:golang.org/toolchain に対するチェックサムデータベースバイパス(bsc#1284776)。
    - CVE-2026-94448:html/template:連続するテンプレート式のコンテキスト追跡をリセットします(bsc#1284777)。
    - CVE-2026-97030:html/template:yield を正規表現の先行キーワードとして認識します(bsc#1284778)。
    - CVE-2026-97031:crypto/tls:無効な形式の ECH 外部拡張参照を拒否します(bsc#1284779)。
    - CVE-2026-97032:net/http:HPACK エンコーダー競合による HTTP/2 サーバークラッシュ(bsc#1284780)。

    変更：

    - go1.27.2(2026 年 10 月 8 日リリース)には、go コマンド、crypto/tls、html/template、net/http、net/textproto、および OS パッケージに対するセキュリティ修正に加え、コンパイラ、リンカー、ランタイム、cover ツール、go fix コマンド、vet、および compress/flate、crypto/mlkem、encoding/json、encoding/json/v2、net/http、 および OS パッケージ。
     * go#81084 encoding/json:Unmarshal が Go でのフロートオーバーフローの宛先に +/-Inf を残します 1.27
     * go#81145 runtime:mutex プロファイリングが、GC 中の非同期のプリエンプションWindowsデッドロックを引き起こす可能性があります
     * go#81226 runtime:netpoll:eventfd は、予期しないものに備える準備ができています
     * go#81229 encoding/json:json。UnsupportedValueError は、浮動小数値の代わりに無効な値を返します
     * go#81233 compress/flate:プリセット辞書を持つライターは、辞書を出力ストリームに出力します
     * lib/fips140 go#81252 :ML-KEM CAST を修正し、v1.26.0 を再シールします
     * go#81296 cmd/compile:内部コンパイラエラー:MoveLoop が小さすぎます
     * go#81306 cmd/compile:go1.27.0 の統合されたエクスポートデータがメソッドの順序を失い、objectpath を破損し、staticcheck をクラッシュします
     * go#81324 プラグイン:複数のプラグインをロードすると、Go の stdlib 型が破損します 1.27
     * go#81353 ランタイム:Go 1.27.0:汎用関数 + ポインタータイプパラメーター + 組み込みインターフェイスによる SIGSEGV クラッシュ
     * go#81362 encoding/json:Marshal は、文字列の種類のマップキーに対して MarshalText を遵守するようになりました
     * go#81374 os、internal/poll:継承されたオーバーラップした stdout パイプの NewFile が兄弟の WriteFile をハングアップさせます(Windows)
     * cmd/fix、x/tools/go/analysis/passes/modernize go#81389 : ErrorsAstype はエラーを書き換えます。エラーを実装しないターゲットインターフェイスとして
     * go#81402 os:最も古い Windows 10 ビルド 10240 の RemoveAll 1.25.x 回帰に移行します
     * go#81411 net/http:同時応答本文の読み取りと閉じると、Go の自動ドレインでデッドロックが発生する可能性があります 1.27
     * go#81437 runtime:mips64le の netpoll における断続的な SIGBUS(アラインされていないアクセス)(Go 1.27)
     * go#81469 runtime:アプリバンドルの外部で実行された iOS/arm64 バイナリが起動時に作業ディレクトリを変更
     * go#81515 net/http:readLoop は、Body.Close が返した後に Response.ContentLength を読み込みます
     * go#81516 net/http:Response.Body.Close は、非 EOF 読み取りエラーの後に先に読み取りエラーを返します
     * go#81522 net/http:応答本文のドレインによる Response.Trailer の競合
     * go#81580 テスト:go test -v が go 1.27以降、t.Log 出力の ESC (0x1b) を倍増させ、一部の端末で ANSI 色を破損
     * go#81666 cmd/compile:tail 呼び出しを使用する組み込みインターフェイスが、競合検出器のスタックの増加を引き起こします
     * go#81667 cmd/compile:go1.27 が &slice[i] をミスコンパイルします。追加構築されたスライスのフィールド。返されたポインターエイリアスが再使用されたメモリ
     * go#81706 cmd/compile:ネスト化されたビットローテーションをインライン化する際の ICE on 386(Int64Lo が下げられていません)
     * go#81816 net/http:Request.TLS が HTTP/2 リクエストに対して適切に入力されていません
     * go#81818 cmd/internal/obj/ppc64:BR における非同期のプリエンプションのバグ(CTR)
     * go#81829 ランタイム:LockOSThread がレジストリ呼び出しをラップする際の windows/amd64 スタック破損(Go 1.27 の新機能)
     * go#81832 cmd/cover:NumStmt が分割ブロック間で重複し、ステートメントカバレッジが拡大します
     * go#81861 cmd/go:以前の実行で依存関係として精査されたパッケージについて、vet が診断を報告しません
     * go#81890 cmd/link:プラグインmacOS 27 でオープンが失敗:LC_DYLD_CHAINED_FIXUPS seg_count DWARF を組み合わせた後に更新されません

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 セキュリティ更新:go1.27(SUSE-SU-2026:4625-1)

critical Nessus プラグイン ID 365320

バージョン 1.1