Amazon Linux 2 : golang (ALAS-2026-4005)
critical Nessus プラグイン ID 371793
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされている golang のバージョンは 1.26.9-1 より前のものです。したがって、ALAS2-2026-4005 のアドバイザリに記載されている複数の脆弱性の影響を受けます。http.トランスポートは、空でないRequest.Bodyを含むHTTP/1 CONNECTリクエストを送信し、リクエストヘッダーの後にフレーミングせずに本文を直接接続に書き込みます。サーバーが 2xx キープアライブ応答で CONNECT 要求を拒否した場合、トランスポートは接続をアイドルプールに戻します。CONNECTリクエストにはリクエスト本文がないため、サーバーは末尾の本文バイトを接続の後続のパイプライン化されたHTTP/1.1 リクエストと解釈し、プールされた接続を非同期のままにして、これを再利用する次の呼び出し元が挿入されたリクエストに対する応答を読み取らせる可能性があります。リバースプロキシ(httputil を含む。ReverseProxy) を介して CONNECT リクエストを転送する際に、クロスユーザー応答ポイズニングを引き起こす可能性があります。
HTTP/1トランスポートは、応答ステータスに関係なく、CONNECTリクエストを送信した後に接続を閉じるようになりました。
さらに、ReverseProxy は、405 Method Not Allowed 応答を伴う受信 CONNECT リクエストを拒否するようになりました。
ReverseProxy は CONNECT リクエストを有用な方法で処理したことがないため(接続を双方向トンネルに変換しません)、この変更が現在のユーザーに悪影響を与えることは想定されていません。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81740NOTE: 修正:
https://github.com/golang/go/commit/76875df0f3425f69e4dc2c439040a248b6107854 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/3fe1aac0ce941cb16b0ec5d489827cf1c58197c4 (go1.26.9)(CVE-2026-56866)
Trailer ヘッダーがクライアントによって送信されると、HTTP サーバーは内部的にヘッダー値を使用して、サーバー ハンドラーに渡される Request.Trailer マップにデータを設定します。Request.Trailer はマップであるため、各エントリではメモリオーバーヘッドが発生します。HTTP/2 サーバーの場合、悪意のあるクライアントが、多数のフィールドを宣言する Trailer ヘッダーを送信することでこれを悪用し、Server.MaxHeaderValueCount および Server.MaxHeaderBytes の制限をバイパスしながら、サーバーに不均衡な量のメモリを割り当てさせる可能性があります。この悪用は、1つのTCP接続で多数のリクエストを多重化することをサポートしておらず、Server.MaxHeaderBytesの計算方法が異なるHTTP/1サーバーには適用できません。Server.MaxHeaderValueCount および Server.MaxHeaderBytes 制限が、Trailer ヘッダーで宣言された trailer フィールドに適用されるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 修正:
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78659)
歴史的に見て、弊社は HTTP/2 実装の無効な形式のフレーミング関連ヘッダーについては、HTTP/2 フレーミングに干渉できないため、かなり緩いと思ってきました。ただし、これにより、HTTP/2実装が、リバースプロキシとして機能するときに、そのようなヘッダーを含む応答をHTTP/1クライアントにHTTP/1クライアントに転送することが可能になります。HTTP/1 クライアントも十分厳密に動作しない場合、応答スマグリングが発生する可能性があります。
弊社の HTTP/2 トランスポートが受信したときに無効な形式のフレーミング関連ヘッダーを削除しました。これにより、潜在的に脆弱な HTTP/1 クライアントに転送されることがなくなります。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81115NOTE: 修正:
https://github.com/golang/go/commit/072779d81582543bf2872c259e0c6cceea728de4 (go1.27.2)TODO:チェックに golang-golang-x-net の追跡が必要な場合があります(CVE-2026-78660)
HTTP/2サーバーは、同じデータに対して接続レベルのフロー制御を2回払い戻しを行う可能性があります。1回目はクライアントがストリームをリセットするとき(ストリームの送信されたが未読部分のデータを返金する)とき、もう1回はリクエストハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用して、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。HTTP/2 サーバーは現在、リクエストハンドラーが完了するまで、リセットストリームのための接続レベルのフロー制御の払い戻しを待機します。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81743NOTE: 修正:
https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78663)
多数の小さな範囲を含むRangeヘッダーを解析するとき、FileServer(FS)、ServeContent、ServeFile(FS)が過剰な量のCPUを消費する可能性があります。
これらの関数は、200 を超える範囲を含む Range ヘッダーを無視するようになりました。この制限は、新しい httpservecontentmaxranges=GODEBUG 設定で制御されます。GODEBUG=httpservecontentmaxranges=0 に設定すると、この制限が無効になります。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81858NOTE: 修正:
https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b (go1.26.9)(CVE-2026-78667)
悪意のあるHTTP/2ピアは、多数のストリームを開き、SETTINGS_INITIAL_WINDOW_SIZE値を含む多数の小さなSETTINGSフレームを送信することで、クライアントまたはサーバーで過剰なCPU消費を引き起こす可能性があります。HTTP/2 クライアントとサーバーが、初期ウィンドウサイズ(O(ストリーム数)ではなく O(1))への変更を効率的に処理するようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81742NOTE: 修正:
https://github.com/golang/go/commit/1d58cdaa1069e259b60c324ec77472f09f23d92e (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78669)
HTTP サーバーのハンドラーが 2xx 応答を HTTP/1 CONNECT リクエストに送信し、接続をハイジャックせずに返す場合、サーバーは接続からのリクエストの読み込みとサービスを不適切に継続していました。
HTTP/1 CONNECT への 2xx 応答は接続をトンネルに変換するため、サーバーは接続を継続して HTTP を含むものとして扱うべきではありません。この誤作動の影響は、ほとんどの場合、潜在的なリクエストスマグリングに限定されています。このとき、仲介プロキシは接続上のデータがトンネルされたものであるとみなし、サーバーはそれを HTTP であると見なします。HTTP/1 サーバーは、応答ステータスにかかわらず、CONNECT リクエストに応答した後、必ず接続を閉じるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81744NOTE: 修正:
https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a (go1.26.9)(CVE-2026-94439)
パートの先頭の残り制限が 400 バイト未満の場合、マルチパートフォームを解析すると、メモリ制限がバイパスされ、任意の長さの行がメモリに読み込まれる可能性があります。マルチパートフォームのメモリ制限が、この状況で適切に適用されるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81741NOTE: 修正:
https://github.com/golang/go/commit/7c79b50a74b6d1aa4269b1827dda7d81f3717f9d (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/d7a7aa8e6781ddf8dce12adf60a813d957d4763e (go1.26.9)(CVE-2026-94440)
cmd/go:golang.org/fips140 のチェックサムバイパス
以前は、偽造 golang.org/fips140 を定義し、ユーザーが接続することを選択した悪意のある GOMODPROXY を操作する悪意のある Go プロジェクト内で操作しているユーザーが、その代わりに任意のモジュールを提供する可能性がありました。
ここでは、バンドルされた golang.org/fips140 モジュールの信頼できる ziphash を解凍し、GOMODCACHE でそのエントリを構築し、ツールチェーンで検証できるようにします。(CVE-2026-94444)
以前は、偽造 golang.org/toolchain go.sum エントリを定義し、ユーザーが使用することを選択した悪意のある GOMODPROXY を操作する悪意のある Go プロジェクト内で操作するユーザーが、意図されたチェックサムをバイパスする可能性があります。
現在は、golang.org/toolchain が常に正規チェックサムのためにネットワークに送られるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81834NOTE: 修正:
https://github.com/golang/go/commit/68fa7699a27d745f90bf8630202e1a415d1b0769 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/7325b729f07c7ff255b9b5e3f427234ebd21ac47 (go1.26.9)(CVE-2026-94447)
JavaScript テンプレートリテラルに連続した式が含まれている場合、新しい式の入力時にコンテキストトラッキング状態が適切にリセットされませんでした。現在では、テンプレートリテラル式エントリがコンテキスト変数を正しくリセットするようにしており、後続するすべての正規表現リテラルが正確に認識され、エスケープされます。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81821NOTE: 修正:
https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 (go1.26.9)(CVE-2026-94448)
信頼できるテンプレート作成者は、|yield|が適切にエスケープされないことを発見しました。現在は、有効なキーワードの使用がエスケープされ、キーワードでない使用がエスケープされないようにしています。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81823NOTE: 修正:
https://github.com/golang/go/commit/6e2cfab0a1c1683c52f9e09270627b0c4e6446e3 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/5d84f6f08caf63b5f1300930368756bd34955f4a (go1.26.9)(CVE-2026-97030)
複数の ECH 外部拡張参照は、RFC 9849 では許可されていません。以前は、クライアントが、よく細工されたパケットを送信する可能性がありました。これにより、複数の参照を指定することで、サーバープロセスでメモリ枯渇を引き起こす可能性があります。弊社では、これらを無効な形式として拒否し、その結果としてメモリ増幅ベクトルを抑制します。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81855NOTE: 修正:
https://github.com/golang/go/commit/f022e61963529d5e691f0e42a87fd5b520f01636 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/eb1bf6e0c4f68b23409483b156e1455696508c6e (go1.26.9)(CVE-2026-97031)
HTTP/2 サーバーは、HPACK エンコーダーを不注意で同時に変更したため、クラッシュする可能性があります。これは、サーバーが同期せずに 2 つの goroutine から HPACK エンコーダーを変更するために発生します。1 つはエンコーダーを使用して、クライアントに送信される応答の一部として HEADERS フレームをエンコードし、もう 1 つは、クライアントが送信するSETTINGS_HEADER_TABLE_SIZEを含む SETTINGS フレームを処理する際に、エンコーダーのテーブルサイズを変更します。悪意のあるクライアントが、ヘッダーテーブルのサイズを変更しながら繰り返しリクエストを送信し、サーバーをクラッシュする可能性があります。
SETTINGS_HEADER_TABLE_SIZEすぐに適用しないことでこの問題を修正します。その代わりに、受信したSETTINGS_HEADER_TABLE_SIZEをバッファリングして、サーバーが次にフレームを書き込む前にだけ新しい値を適用します。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81867NOTE: 修正:
https://github.com/golang/go/commit/12acaf3086437e140e2dd3b7d2c30fdd633c5fe0 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-97032)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update golang」または「yum update --advisory ALAS2-2026-4005」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2-2026-4005.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-56866.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-78660.html
https://explore.alas.aws.amazon.com/CVE-2026-78663.html
https://explore.alas.aws.amazon.com/CVE-2026-78667.html
https://explore.alas.aws.amazon.com/CVE-2026-78669.html
https://explore.alas.aws.amazon.com/CVE-2026-94439.html
https://explore.alas.aws.amazon.com/CVE-2026-94440.html
https://explore.alas.aws.amazon.com/CVE-2026-94444.html
https://explore.alas.aws.amazon.com/CVE-2026-94447.html
https://explore.alas.aws.amazon.com/CVE-2026-94448.html
https://explore.alas.aws.amazon.com/CVE-2026-97030.html
プラグインの詳細
深刻度: Critical
ID: 371793
ファイル名: al2_ALAS-2026-4005.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/24
更新日: 2026/10/24
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.7
パーセンタイル: 95.76
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS スコアのソース: CVE-2026-78663
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:golang-bin, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-shared, p-cpe:/a:amazon:linux:golang-src, p-cpe:/a:amazon:linux:golang-tests, p-cpe:/a:amazon:linux:golang
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/24
脆弱性公開日: 2026/10/8
参照情報
CVE: CVE-2026-56866, CVE-2026-78659, CVE-2026-78660, CVE-2026-78663, CVE-2026-78667, CVE-2026-78669, CVE-2026-94439, CVE-2026-94440, CVE-2026-94444, CVE-2026-94447, CVE-2026-94448, CVE-2026-97030, CVE-2026-97031, CVE-2026-97032
IAVB: 2026-B-0296-S