リモートホストで実行されているGolangのバージョンは、より前の 1.24.x1.24.8、 1.25.x より前の 1.25.2です。したがって、qZN5nc-mBgAJアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - Parse 機能により、IPv6 アドレス以外の値が、URL のホストコンポーネント内で角括弧に含まれることを許可していました。RFC 3986では、IPv6アドレスを角括弧で囲み、ホストコンポーネントに含める可能性があります。例: 「http://[::1]/」。IPv4 アドレスとホスト名は、角括弧内に表示できません。解析 では、この要件が強制されていませんでした。CVE-2025-47912

  - tar.Reader は、GNU tar pax 1.0 スパースファイルのスパース領域データブロック数に最大サイズを設定していませんでした。悪意をもって細工されたアーカイブにより、Reader が無制限の量のデータをアーカイブからメモリへ読み取る可能性があります。圧縮されたソースから読み取るとき、小さな圧縮入力が大きな割り当てを引き起こす可能性があります。CVE-2025-58183

  - DSA パブリックキーを含む証明書チェーンを検証すると、Equal メソッドを実装すると想定するインターフェイスキャストによって、プログラムがパニックする可能性があります。これは、任意の証明書チェーンを検証するプログラムに影響を与えます。CVE-2025-58188

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Debian Linux - golang-1.15 - なし golang-1.19 - なし golang-1.23 - なし golang-1.24 - なし golang-1.25
    - なしCVE-2025-61723

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:03547-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.25.2 (2025 年 10 月 7 日リリース) には、archive/tar、crypto/tls、crypto/x509、encoding/asn1、encoding/pem、net/http、net/mail、net/textproto、および net に対するセキュリティ修正が含まれます。 /url パッケージ、ならびにコンパイラ、runtime、および context、debug/pe、net/http、os、および sync/atomic パッケージへのバグ修正。bsc#1244485

      CVE-2025-58189 CVE-2025-61725 CVE-2025-58188 CVE-2025-58185 CVE-2025-58186 CVE-2025-61723 CVE-2025-58183 CVE-2025-47912 CVE-2025-58187 CVE-2025-61724:

      * bsc#1251255 CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーには、攻撃者が制御する情報が含まれます
      * bsc#1251253 CVE-2025-61725net/mailParseAddress の過剰な CPU 消費
      * bsc#1251260 CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際のパニック
      * bsc#1251258 CVE-2025-58185encoding/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が発生する可能性があります
      * bsc#1251259 CVE-2025-58186net/httpクッキーを解析する際の制限がないために、メモリ枯渇が発生する可能性があります
      * bsc#1251256 CVE-2025-61723encoding/pem一部の無効な入力を解析する際の二次複雑性
      * bsc#1251261 CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当て
      * bsc#1251257 CVE-2025-47912net/url括弧付き IPv6 ホスト名の不十分な検証
      * bsc#1251254 CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性
      * bsc#1251262 CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費

      * go#75111 os、syscallReadAt を呼び出す際に、FILE_FLAG_OVERLAPPED を伴うボリューム処理が失敗します
      * go#75116 os同じパスで同時に呼び出された場合、Root.MkdirAll は「file uses」を返す可能性があります
      * go#75139 osRoot.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスを失っています
      * go#75221 debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * go#75255 cmd/compileインターフェイス経由でのみ参照される DWARF タイプにエクスポートします
      * go#75347 tests/synctest実行可能な goroutines がないテストタイムアウト
      * go#75357 net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * go#75524 crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * go#75537 コンテキストDone チャネルが閉じられる前に、Err が非 nil を返す可能性があります
      * go#75539 net/http内部エラーconnCount アンダーフロー
      * go#75595 cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * go#75610 sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています
      * go#75669 runtimedebug.decoratemappings が期待通りに機能しません

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:3682-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.24.9 (2025 年 10 月 13 日リリース) には、crypto/x509 パッケージへの修正が含まれています。bsc#1236217

    * crypto/x509末尾のドットを持つ FQDN で TLS 検証が失敗する

    go1.24.82025 年 10 月 7 日リリースには、archive/tar、crypto/tls、crypto/x509、encoding/asn1、encoding/pem、net/http、net/mail、net/textproto、および net に対するセキュリティ修正が含まれます。 /url パッケージ、ならびにコンパイラ、リンカ、および debug/pe、net/http、os、および sync/atomic パッケージへのバグ修正。
    (bsc#1236217)

      CVE-2025-58189 CVE-2025-61725 CVE-2025-58188 CVE-2025-58185 CVE-2025-58186 CVE-2025-61723 CVE-2025-58183 CVE-2025-47912 CVE-2025-58187 CVE-2025-61724:

      * bsc#1251255 CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーには、攻撃者が制御する情報が含まれます
      * bsc#1251253 CVE-2025-61725net/mailParseAddress の過剰な CPU 消費
      * bsc#1251260 CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際のパニック
      * bsc#1251258 CVE-2025-58185encoding/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が発生する可能性があります
      * bsc#1251259 CVE-2025-58186net/httpクッキーを解析する際の制限がないために、メモリ枯渇が発生する可能性があります
      * bsc#1251256 CVE-2025-61723encoding/pem一部の無効な入力を解析する際の二次複雑性
      * bsc#1251261 CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当て
      * bsc#1251257 CVE-2025-47912net/url括弧付き IPv6 ホスト名の不十分な検証
      * bsc#1251254 CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性
      * bsc#1251262 CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費
      * osRoot.OpenRoot が不適切な名前を設定し、元の root のプレフィックスを失っています
      * debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * cmd/link空のコンテナシンボルのため、CGO を有効にした riscv64 でのパニック
      * net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * os新しいテスト TestOpenFileCreateExclDanglingSymlink が Plan 9 で失敗します
      * crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * net/http内部エラーconnCount アンダーフロー
      * cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
271201	Golang 1.24.x < 1.24.8 / 1.25.x < 1.25.2 複数の脆弱性qZN5nc-mBgAJ	Nessus	Misc.	2025/10/22	2025/10/24	high
270214	Linux Distros のパッチ未適用の脆弱性: CVE-2025-61723	Nessus	Misc.	2025/10/13	2025/10/13	critical
270294	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新go1.25SUSE-SU-2025:03547-1	Nessus	SuSE Local Security Checks	2025/10/14	2025/10/24	high
270849	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新: go1.24 (SUSE-SU-2025:3682-1)	Nessus	SuSE Local Security Checks	2025/10/21	2025/10/21	high

検出

プラグインの検索

high

critical

high

high