SUSE SLED15 / SLES15 セキュリティ更新 : go1.26 (SUSE-SU-2026:4629-1)
critical Nessus プラグイン ID 365330
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4629-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。1.26.9に更新してください(bsc#1255111):
- CVE-2026-56857:os:Root.Mkdir(All) は Windows 上のルート外のジャンクションをたどることができます(bsc#1284766)。
- CVE-2026-56866:net/http:CONNECT 拒否後の HTTP/1 クライアント接続の同期解除(bsc#1284767)。
- CVE-2026-78659:net/http:Trailer ヘッダーによる HTTP/2 サーバーメモリ枯渇(bsc#1284768)。
- CVE-2026-78660:net/http:HTTP/2 トランスポートは、無効な形式のフレーミング関連ヘッダーを受け入れます(bsc#1284769)。
- CVE-2026-78667:net/http:解析済み範囲ヘッダーのサイズの制限の欠如(bsc#1284771)。
- CVE-2026-94439:net/http:2xx CONNECT 応答後の HTTP/1 サーバー接続の同期解除(bsc#1284773)。
- CVE-2026-94440:net/textproto、mime/multipart:MIME ヘッダーを解析する際のメモリ制限バイパス(bsc#1284774)。
- CVE-2026-94444:cmd/go:golang.org/fips140 のチェックサムバイパス(bsc#1284775)。
- CVE-2026-94447:cmd/go:golang.org/toolchain に対するチェックサムデータベースバイパス(bsc#1284776)。
- CVE-2026-94448:html/template:連続するテンプレート式のコンテキスト追跡をリセットします(bsc#1284777)。
- CVE-2026-97030:html/template:yield を正規表現の先行キーワードとして認識します(bsc#1284778)。
- CVE-2026-97031:crypto/tls:無効な形式の ECH 外部拡張参照を拒否します(bsc#1284779)。
- CVE-2026-97032:net/http:HPACK エンコーダー競合による HTTP/2 サーバークラッシュ(bsc#1284780)。
変更：
- go1.26.9(2026 年 10 月 8 日リリース)には、go コマンド、crypto/tls、html/template、net/http、net/textproto、および os パッケージに対するセキュリティ修正に加え、コンパイラ、リンカー、ランタイム、vet、および crypto/mlkem、net/http、および os パッケージに対するバグ修正が含まれています。
* go#81144 runtime:mutex プロファイリングが、GC 中の非同期のプリエンプションWindowsデッドロックを引き起こす可能性があります
* go#81225 runtime:netpoll:eventfd は、予期しないものに備える準備ができています
* lib/fips140 go#81251 :ML-KEM CAST を修正し、v1.26.0 を再シールします
* go#81295 cmd/compile:内部コンパイラエラー:MoveLoop が小さすぎます
* go#81318 os、internal/poll:継承されたオーバーラップした stdout パイプの NewFile が兄弟の WriteFile をハングアップさせます(Windows)
* go#81401 os:最も古い Windows 10 ビルド 10240 の RemoveAll 1.25.x 回帰に移行します
* go#81436 runtime:mips64le の netpoll における断続的な SIGBUS(アラインされていないアクセス)(Go 1.27)
* go#81668 cmd/compile:go1.27 が &slice[i] をミスコンパイルします。追加構築されたスライスのフィールド。返されたポインターエイリアスが再使用されたメモリ
* go#81689 cmd/compile:スライス割り当てでスタックバッキングストアが不適切に再利用されます
* go#81860 cmd/go:以前の実行で依存関係として精査されたパッケージについて、vet が診断を報告しません
* go#81889 cmd/link:プラグインmacOS 27 でオープンが失敗:LC_DYLD_CHAINED_FIXUPS seg_count DWARF を組み合わせた後に更新されません
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける go1.26、go1.26-doc、go1.26-race パッケージを更新してください。参考資料
https://bugzilla.suse.com/1255111
https://bugzilla.suse.com/1284766
https://bugzilla.suse.com/1284767
https://bugzilla.suse.com/1284768
https://bugzilla.suse.com/1284769
https://bugzilla.suse.com/1284771
https://bugzilla.suse.com/1284773
https://bugzilla.suse.com/1284774
https://bugzilla.suse.com/1284775
https://bugzilla.suse.com/1284776
https://bugzilla.suse.com/1284777
https://bugzilla.suse.com/1284778
https://bugzilla.suse.com/1284779
https://bugzilla.suse.com/1284780
https://www.suse.com/security/cve/CVE-2026-56857
https://www.suse.com/security/cve/CVE-2026-56866
https://www.suse.com/security/cve/CVE-2026-78659
https://www.suse.com/security/cve/CVE-2026-78660
https://www.suse.com/security/cve/CVE-2026-78667
https://www.suse.com/security/cve/CVE-2026-94439
https://www.suse.com/security/cve/CVE-2026-94440
https://www.suse.com/security/cve/CVE-2026-94444
https://www.suse.com/security/cve/CVE-2026-94447
https://www.suse.com/security/cve/CVE-2026-94448
https://www.suse.com/security/cve/CVE-2026-97030
https://www.suse.com/security/cve/CVE-2026-97031
プラグインの詳細
深刻度: Critical
ID: 365330
ファイル名: suse_SU-2026-4629-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/10/13
更新日: 2026/10/13
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.49
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-56857
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:go1.26-doc, p-cpe:/a:novell:suse_linux:go1.26-race, p-cpe:/a:novell:suse_linux:go1.26
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/12
脆弱性公開日: 2026/10/8
参照情報
CVE: CVE-2026-56857, CVE-2026-56866, CVE-2026-78659, CVE-2026-78660, CVE-2026-78667, CVE-2026-94439, CVE-2026-94440, CVE-2026-94444, CVE-2026-94447, CVE-2026-94448, CVE-2026-97030, CVE-2026-97031, CVE-2026-97032
SuSE: SUSE-SU-2026:4629-1