Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 の複数の脆弱性

critical Nessus プラグイン ID 366456

Language:

概要

リモートホストにインストールされているアプリケーションは、複数の脆弱性の影響を受けます。

説明

リモートホストで実行している Golang のバージョンは、1.26.9 より前の 1.26.x、または 1.27.2 より前の 1.27.x です。したがって、golang-announceアドバイザリに記載されているように、標準ライブラリとツールチェーンの複数の脆弱性の影響を受けます。

- Windows では、Root.Mkdir または Root.MkdirAll のターゲットが空の場所を指しているジャンクションである場合、ターゲットがルートの外側にある場合でも、その操作によってジャンクションターゲットにディレクトリが作成される可能性があります。これは、最後のパスコンポーネントがジャンクション (path/to/junction ですが、path/junction/target ではなく) である操作にのみ適用されます。(CVE-2026-56857)

- HTTP/2 サーバーは、同じデータに対して接続レベルのフロー制御を 2 回払い戻しできます。1 回目はクライアントがストリームをリセットするとき (ストリームの送信済みだが未読部分のデータを返金する)、もう 1 回はリクエストハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用し、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。(CVE-2026-78663)

- http.トランスポートは、空でないRequest.Bodyを含むHTTP/1 CONNECTリクエストを送信し、リクエストヘッダーの後にフレーミングせずに本文を直接接続に書き込みます。サーバーが 2xx キープアライブ応答で CONNECT 要求を拒否した場合、トランスポートは接続をアイドルプールに戻します。CONNECTリクエストにはリクエスト本文がないため、サーバーは末尾の本文バイトを接続の後続のパイプライン化されたHTTP/1.1 リクエストと解釈し、プールされた接続を非同期のままにして、これを再利用する次の呼び出し元が挿入されたリクエストに対する応答を読み取らせる可能性があります。リバースプロキシ(httputil を含む。ReverseProxy) を介して CONNECT リクエストを転送する際に、クロスユーザー応答ポイズニングを引き起こす可能性があります。(CVE-2026-56866)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。