リモートホストにインストールされている amazon-ecr-credential-helper のバージョンは、0.10.1-3 より前です。したがって、ALAS2DOCKER-2025-079 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/url括弧で囲まれた IPv6 ホスト名の不十分な検証

    解析機能により、IPv6 アドレス以外の値が、URL のホストコンポーネント内で角括弧に含まれることを許可していました。RFC 3986では、IPv6アドレスを角括弧で囲み、ホストコンポーネントに含める可能性があります。例: http://[::1]/。IPv4 アドレスとホスト名は、角括弧内に表示できません。解析 では、この要件が強制されていませんでした。CVE-2025-47912

    archive/tarGNU スパースマップを解析する際の際限のない割り当て

    tar.Reader は、GNU tar pax 1.0 スパースファイルのスパース領域データブロック数に最大サイズを設定していませんでした。悪意をもって細工されたアーカイブにより、Reader が無制限の量のデータをアーカイブからメモリへ読み取る可能性があります。圧縮されたソースから読み取るとき、小さな圧縮入力が大きな割り当てを引き起こす可能性があります。CVE-2025-58183

    entity/asn1DER ペイロードを解析する際にメモリを事前に割り当てることで、メモリ枯渇が発生する可能性があります

    DER ペイロードを解析する際に、ペイロードを完全に検証する前にメモリが割り当てられていました。これにより、攻撃者は大きな空の DER ペイロードを作成し、asn1.Unmarshal、x509.ParseCertificateRequest、ocsp.ParseResponse などの関数でメモリ枯渇を引き起こすことができます。CVE-2025-58185

    net/httpクッキー解析する際の制限がないために、メモリ枯渇が発生する可能性があります

    HTTP ヘッダーにはデフォルトの制限である 1 MB がありますが、解析できるクッキーの数には制限がありませんでした。a=; などの非常に小さなクッキーを多数送信することで、攻撃者は HTTP サーバーに大量のを割り当てさせることができますこれにより大量のメモリ消費を引き起こす可能性があります。

    net/http は現在、受け入れられるクッキー数を 3000 に制限しています。これは、httpcookiemaxnum GODEBUG オプションを使用して調整できます。CVE-2025-58186

    crypto/x509名前制約をチェックする際の二次複雑性

    名前制約チェックアルゴリズムの設計により、一部の入力の処理時間が証明書のサイズに対して非線形でスケールします。

    これは、任意の証明書チェーンを検証するプログラムに影響を与えます。CVE-2025-58187

    crypto/x509DSA 公開鍵で証明書を検証する際のパニック

    DSA パブリックキーを含む証明書チェーンを検証すると、Equal メソッドを実装すると想定するインターフェイスキャストによって、プログラムがパニックする可能性があります。

    これは、任意の証明書チェーンを検証するプログラムに影響を与えます。CVE-2025-58188

    crypto/tlsALPN ネゴシエーションエラーに任意のテキストが含まれる可能性があります

    ALPN ネゴシエーションが失敗した場合、crypto/tls conn.Handshake メソッドはサーバー側のエラーを返します。これには、エスケープされない接続のクライアント側によって提供される、任意の攻撃者がコントロールする情報が含まれる可能性があります。

    これは、追加のサニタイズなしでこれらのエラーを記録するプログラムに影響を与え、攻撃者が制御する情報をログに注入する可能性があります。CVE-2025-58189

    entity/pem一部の無効な入力を解析する際の二次複雑性

    PEM 解析関数の設計により、一部の入力の処理時間が、入力のサイズに対して非線形でスケールします。

    これは、信頼できない PEM 入力を解析するプログラムに影響を与えます。CVE-2025-61723

    net/textprotoReader.ReadResponse の過剰な CPU 消費

    Reader.ReadResponse 関数は、行を繰り返し文字列で連結することで応答文字列を構築していました。応答の行数が多い場合、CPU の消費が過剰になる可能性があります。
    (CVE-2025-61724)

    net/mailParseAddress の過剰な CPU 消費

    ParseAddress 関数は、繰り返しの文字列の連結でドメインリテラルアドレスコンポーネントを構築しました。大きなドメインリテラルコンポーネントを解析する場合に、過剰な CPU 消費が発生する可能性があります。
    (CVE-2025-61725)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている nerdctl のバージョンは、2.1.5-1 より前です。したがって、ALAS2-2025-3070 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/url括弧で囲まれた IPv6 ホスト名の不十分な検証

    解析機能により、IPv6 アドレス以外の値が、URL のホストコンポーネント内で角括弧に含まれることを許可していました。RFC 3986では、IPv6アドレスを角括弧で囲み、ホストコンポーネントに含める可能性があります。例: http://[::1]/。IPv4 アドレスとホスト名は、角括弧内に表示できません。解析 では、この要件が強制されていませんでした。CVE-2025-47912

    archive/tarGNU スパースマップを解析する際の際限のない割り当て

    tar.Reader は、GNU tar pax 1.0 スパースファイルのスパース領域データブロック数に最大サイズを設定していませんでした。悪意をもって細工されたアーカイブにより、Reader が無制限の量のデータをアーカイブからメモリへ読み取る可能性があります。圧縮されたソースから読み取るとき、小さな圧縮入力が大きな割り当てを引き起こす可能性があります。CVE-2025-58183

    entity/asn1DER ペイロードを解析する際にメモリを事前に割り当てることで、メモリ枯渇が発生する可能性があります

    DER ペイロードを解析する際に、ペイロードを完全に検証する前にメモリが割り当てられていました。これにより、攻撃者は大きな空の DER ペイロードを作成し、asn1.Unmarshal、x509.ParseCertificateRequest、ocsp.ParseResponse などの関数でメモリ枯渇を引き起こすことができます。CVE-2025-58185

    net/httpクッキー解析する際の制限がないために、メモリ枯渇が発生する可能性があります

    HTTP ヘッダーにはデフォルトの制限である 1 MB がありますが、解析できるクッキーの数には制限がありませんでした。a=; などの非常に小さなクッキーを多数送信することで、攻撃者は HTTP サーバーに大量のを割り当てさせることができますこれにより大量のメモリ消費を引き起こす可能性があります。

    net/http は現在、受け入れられるクッキー数を 3000 に制限しています。これは、httpcookiemaxnum GODEBUG オプションを使用して調整できます。CVE-2025-58186

    crypto/x509名前制約をチェックする際の二次複雑性

    名前制約チェックアルゴリズムの設計により、一部の入力の処理時間が証明書のサイズに対して非線形でスケールします。

    これは、任意の証明書チェーンを検証するプログラムに影響を与えます。CVE-2025-58187

    crypto/x509DSA 公開鍵で証明書を検証する際のパニック

    DSA パブリックキーを含む証明書チェーンを検証すると、Equal メソッドを実装すると想定するインターフェイスキャストによって、プログラムがパニックする可能性があります。

    これは、任意の証明書チェーンを検証するプログラムに影響を与えます。CVE-2025-58188

    crypto/tlsALPN ネゴシエーションエラーに任意のテキストが含まれる可能性があります

    ALPN ネゴシエーションが失敗した場合、crypto/tls conn.Handshake メソッドはサーバー側のエラーを返します。これには、エスケープされない接続のクライアント側によって提供される、任意の攻撃者がコントロールする情報が含まれる可能性があります。

    これは、追加のサニタイズなしでこれらのエラーを記録するプログラムに影響を与え、攻撃者が制御する情報をログに注入する可能性があります。CVE-2025-58189

    entity/pem一部の無効な入力を解析する際の二次複雑性

    PEM 解析関数の設計により、一部の入力の処理時間が、入力のサイズに対して非線形でスケールします。

    これは、信頼できない PEM 入力を解析するプログラムに影響を与えます。CVE-2025-61723

    net/textprotoReader.ReadResponse の過剰な CPU 消費

    Reader.ReadResponse 関数は、行を繰り返し文字列で連結することで応答文字列を構築していました。応答の行数が多い場合、CPU の消費が過剰になる可能性があります。
    (CVE-2025-61724)

    net/mailParseAddress の過剰な CPU 消費

    ParseAddress 関数は、繰り返しの文字列の連結でドメインリテラルアドレスコンポーネントを構築しました。大きなドメインリテラルコンポーネントを解析する場合に、過剰な CPU 消費が発生する可能性があります。
    (CVE-2025-61725)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、 SUSE-SU-2025:21192-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.25.5 に更新します。

    セキュリティの問題を修正:

    - CVE-2025-61729crypto/x509ホスト証明書検証用のエラー文字列の出力での過剰なリソース消費bsc#1254431。
    - CVE-2025-61727crypto/x509除外されたサブドメイン制約は、ワイルドカード SAN を除外しませんbsc#1254430。
    - CVE-2025-61725net/mailParseAddress の過剰な CPU 消費bsc#1251253。
    - CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費bsc#1251262。
    - CVE-2025-61723entity/pem一部の無効な入力を解析する際の二次複雑性bsc#1251256。
    - CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーに、攻撃者が制御する情報が含まれていますbsc#1251255。
    - CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際にパニックしますbsc#1251260。
    - CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性bsc#1251254
    - CVE-2025-58186net/httpCookie を解析する際に制限がないため、メモリを枯渇させる可能性がありますbsc#1251259。
    - CVE-2025-58185entity/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が引き起こされる可能性がありますbsc#1251258。
    - CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当てbsc#1251261。
    - CVE-2025-47912net/url括弧付き IPv6 ホスト名の検証が不十分bsc#1251257
    - CVE-2025-47910net/httpCrossOriginProtection の安全でないバイパスパターンが完全一致に制限されていません。bsc#1249141

    その他の修正された問題と変更

    - バージョン 1.25.5:
      * go#76245 mimeFormatMediaType と ParseMediaType は 1.24 から 1.25まで互換性がありません
      * go#76360 osWindows で、読み取り専用ファイルを含むディレクトリを削除する際に、 unlinkat でエラーを起こします ... アクセスが拒否されました。ReOpenFile のエラー処理のフォローアップ

    - バージョン 1.25.4:
      * go#75480 cmd/link複雑なジェネリックインライン化でのリンカーパニックと再配置のエラー
      * go#75775 runtimelinux/arm64 で実行している linux/amd64 用の QEMU を介して実行する際、ビルドが失敗します
      * go#75790 crypto/internal/fips140/subtleGo 1.25 notes.xorBytes の MIPS におけるパニック
      * go#75832 net/urlipv4 にマッピングされた ipv6 アドレスは、角括弧内で有効である必要があります
      * go#75952 entity/pem先頭のガベージがあるブロックをデコードする際の回帰
      * go#75989 osWindows で、読み取り専用ファイルを含むディレクトリを削除する際に、 unlinkat でエラーを起こします ... アクセスが拒否される
      * go#76010 cmd/compileany(func(){})==any(func(){}) はパニックにはなりませんが、
      * go#76029 pem/encoding無効な形式の行末がパニックを引き起こす可能性があります

    - バージョン 1.25.3:
      * go#75861 crypto/x509末尾のドットを持つ FQDN で TLS 検証が失敗します
      * go#75777 specGo1.25 の仕様は実際のリリース日に直近にする必要があります

    - バージョン 1.25.2:
      * go#75111 os、syscallReadAt を呼び出す際に、FILE_FLAG_OVERLAPPED を伴うボリューム処理が失敗します
      * go#75116 osRoot.MkdirAll は、同じパスで同時に呼び出された場合、存在するファイルを返すことができます
      * go#75139 osRoot.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスを失っています
      * go#75221 debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * go#75255 cmd/compileインターフェイス経由でのみ参照される DWARF タイプにエクスポートします
      * go#75347 tests/synctest実行可能な goroutines がないテストタイムアウト
      * go#75357 net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * go#75524 crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * go#75537 コンテキストDone チャネルが閉じられる前に、Err が非 nil を返す可能性があります
      * go#75539 net/http内部エラーconnCount アンダーフロー
      * go#75595 cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * go#75610 sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています
      * go#75669 runtimedebug.decoratemappings が期待通りに機能しません

    - バージョン 1.25.1:
      * go#74822 cmd/gogettoolchain@latest はリリース候補を無視する必要があります
      * go#74999 netWriteMsgUDPAddrPort は、IPv4 UDP ソケット上の IPv4 にマッピングされた IPv6 宛先アドレスを受け入れる必要があります
      * go#75008 os/execTestLookPath が CL 685755 後のplan9 で失敗します
      * go#75021 tests/synctestバブルが終了しません
      * go#75083 osFile.Seek で Windows のオーバーラップしたハンドルで正しいオフセットが設定されません

    - パッケージupdate-alternatives から libalternatives へ移行しますbsc#1245878。
    - gcc/gcc7 依存関係のランタイム状態を修正します。
    - すべてのアーキテクチャに対して少なくとも gcc 7 を使用しますbsc#1254227。
    - svgpan.js をパッケージして go ツール pprof の問題を修正boo#1249985]
    - go1.22+ で未使用の gccgo ブートストラップコードをドロップしますbsc#1248082。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE-SU-2025:20158-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.24.11に更新します。

    セキュリティの問題を修正:

    - CVE-2025-47912net/url括弧付き IPv6 ホスト名の検証が不十分bsc#1251257
    - CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当てbsc#1251261。
    - CVE-2025-58185entity/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が引き起こされる可能性がありますbsc#1251258。
    - CVE-2025-58186net/httpCookie を解析する際に制限がないため、メモリを枯渇させる可能性がありますbsc#1251259。
    - CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性bsc#1251254
    - CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際にパニックしますbsc#1251260。
    - CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーに、攻撃者が制御する情報が含まれていますbsc#1251255。
    - CVE-2025-61723entity/pem一部の無効な入力を解析する際の二次複雑性bsc#1251256。
    - CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費bsc#1251262。
    - CVE-2025-61725net/mailParseAddress の過剰な CPU 消費bsc#1251253。
    - CVE-2025-61727crypto/x509除外されたサブドメイン制約は、ワイルドカード SAN を除外しませんbsc#1254430。
    - CVE-2025-61729crypto/x509ホスト証明書検証用のエラー文字列の出力での過剰なリソース消費bsc#1254431。


    その他の修正された問題と変更

    - バージョン 1.24.11:
      * go#76378 internal/cpuloong64 での不適切な CPU 機能ビット解析により、 LA364 コアで不正な命令コアダンプが発生します

    - バージョン 1.24.10:
      * go#75831 net/urlipv4 にマッピングされた ipv6 アドレスは、角括弧内で有効である必要があります
      * go#75951 entity/pem先頭のガベージがあるブロックをデコードする際の回帰
      * go#76028 pem/encoding無効な形式の行末がパニックを引き起こす可能性があります

    - バージョン 1.24.9:
      * go#75860 crypto/x509末尾のドットを持つ FQDN で TLS 検証が失敗します

    - バージョン 1.24.8:
      * go#75138 osRoot.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスを失っています
      * go#75220 debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * go#75351 cmd/link空のコンテナシンボルのため、CGO が有効になっている riscv64 でのパニック
      * go#75356 net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * go#75359 os新しいテスト TestOpenFileCreateExclDanglingSymlink が Plan 9 で失敗します
      * go#75523 crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * go#75538 net/http内部エラーconnCount アンダーフロー
      * go#75594 cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * go#75609 sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています

    - バージョン 1.24.7:
      * go#75007 os/execTestLookPath が CL 685755 後のplan9 で失敗します
      * go#74821 cmd/gogettoolchain@latest はリリース候補を無視する必要があります
      * go#74818 netWriteMsgUDPAddrPort は、IPv4 UDP ソケット上の IPv4 にマッピングされた IPv6 宛先アドレスを受け入れる必要があります

    - パッケージupdate-alternatives から libalternatives へ移行しますbsc#1245878。
    - svgpan.js をパッケージして go ツール pprof の問題を修正bsc#1249985]
    - go1.22+ で未使用の gccgo ブートストラップコードをドロップしますbsc#1248082。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE-SU-2025:20157-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.25.5 に更新します。

    セキュリティの問題を修正:

    - CVE-2025-61729crypto/x509ホスト証明書検証用のエラー文字列の出力での過剰なリソース消費bsc#1254431。
    - CVE-2025-61727crypto/x509除外されたサブドメイン制約は、ワイルドカード SAN を除外しませんbsc#1254430。
    - CVE-2025-61725net/mailParseAddress の過剰な CPU 消費bsc#1251253。
    - CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費bsc#1251262。
    - CVE-2025-61723entity/pem一部の無効な入力を解析する際の二次複雑性bsc#1251256。
    - CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーに、攻撃者が制御する情報が含まれていますbsc#1251255。
    - CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際にパニックしますbsc#1251260。
    - CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性bsc#1251254
    - CVE-2025-58186net/httpCookie を解析する際に制限がないため、メモリを枯渇させる可能性がありますbsc#1251259。
    - CVE-2025-58185entity/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が引き起こされる可能性がありますbsc#1251258。
    - CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当てbsc#1251261。
    - CVE-2025-47912net/url括弧付き IPv6 ホスト名の検証が不十分bsc#1251257
    - CVE-2025-47910net/httpCrossOriginProtection の安全でないバイパスパターンが完全一致に制限されていません。bsc#1249141

    その他の修正された問題と変更

    - バージョン 1.25.5:
      * go#76245 mimeFormatMediaType と ParseMediaType は 1.24 から 1.25まで互換性がありません
      * go#76360 osWindows で、読み取り専用ファイルを含むディレクトリを削除する際に、 unlinkat でエラーを起こします ... アクセスが拒否されました。ReOpenFile のエラー処理のフォローアップ

    - バージョン 1.25.4:
      * go#75480 cmd/link複雑なジェネリックインライン化でのリンカーパニックと再配置のエラー
      * go#75775 runtimelinux/arm64 で実行している linux/amd64 用の QEMU を介して実行する際、ビルドが失敗します
      * go#75790 crypto/internal/fips140/subtleGo 1.25 notes.xorBytes の MIPS におけるパニック
      * go#75832 net/urlipv4 にマッピングされた ipv6 アドレスは、角括弧内で有効である必要があります
      * go#75952 entity/pem先頭のガベージがあるブロックをデコードする際の回帰
      * go#75989 osWindows で、読み取り専用ファイルを含むディレクトリを削除する際に、 unlinkat でエラーを起こします ... アクセスが拒否される
      * go#76010 cmd/compileany(func(){})==any(func(){}) はパニックにはなりませんが、
      * go#76029 pem/encoding無効な形式の行末がパニックを引き起こす可能性があります

    - バージョン 1.25.3:
      * go#75861 crypto/x509末尾のドットを持つ FQDN で TLS 検証が失敗します
      * go#75777 specGo1.25 の仕様は実際のリリース日に直近にする必要があります

    - バージョン 1.25.2:
      * go#75111 os、syscallReadAt を呼び出す際に、FILE_FLAG_OVERLAPPED を伴うボリューム処理が失敗します
      * go#75116 osRoot.MkdirAll は、同じパスで同時に呼び出された場合、存在するファイルを返すことができます
      * go#75139 osRoot.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスを失っています
      * go#75221 debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * go#75255 cmd/compileインターフェイス経由でのみ参照される DWARF タイプにエクスポートします
      * go#75347 tests/synctest実行可能な goroutines がないテストタイムアウト
      * go#75357 net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * go#75524 crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * go#75537 コンテキストDone チャネルが閉じられる前に、Err が非 nil を返す可能性があります
      * go#75539 net/http内部エラーconnCount アンダーフロー
      * go#75595 cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * go#75610 sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています
      * go#75669 runtimedebug.decoratemappings が期待通りに機能しません

    - バージョン 1.25.1:
      * go#74822 cmd/gogettoolchain@latest はリリース候補を無視する必要があります
      * go#74999 netWriteMsgUDPAddrPort は、IPv4 UDP ソケット上の IPv4 にマッピングされた IPv6 宛先アドレスを受け入れる必要があります
      * go#75008 os/execTestLookPath が CL 685755 後のplan9 で失敗します
      * go#75021 tests/synctestバブルが終了しません
      * go#75083 osFile.Seek で Windows のオーバーラップしたハンドルで正しいオフセットが設定されません

    - パッケージupdate-alternatives から libalternatives へ移行しますbsc#1245878。
    - gcc/gcc7 依存関係のランタイム状態を修正します。
    - すべてのアーキテクチャに対して少なくとも gcc 7 を使用しますbsc#1254227。
    - svgpan.js をパッケージして go ツール pprof の問題を修正boo#1249985]
    - go1.22+ で未使用の gccgo ブートストラップコードをドロップしますbsc#1248082。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0298-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 1.25.6 に更新してください (2026 年 1 月 15 日リリース) (jsc#SLE-18320, bsc#1244485):

    セキュリティの修正: 

     - CVE-2025-4674 cmd/go: 1 つのモジュールで複数の vcs のサポートを無効にします (bsc#1246118)。
     - CVE-2025-47906 os/exec: LookPath のバグ: 一部の PATH 構成での「,」、「.」、および「..」の不適切な拡張 (bsc#1247719)。
     - CVE-2025-47907 database/sql: Rows.Scan から不正な結果が返されます (bsc#1247720)。
     - CVE-2025-47910 net/http: CrossOriginProtection の安全でないバイパスパターンが完全一致に制限されていません (bsc#1249141)。
     - CVE-2025-47912 net/url: 括弧付き IPv6 ホスト名の検証が不十分 (bsc#1251257)。
     - CVE-2025-58183 archive/tar: GNU スパースマップを解析する際の無制限割り当て (bsc#1251261)。
     - CVE-2025-58185 encoding/asn1: DER ペイロードを解析する際にメモリを事前に割り当てると、メモリを枯渇させる可能性があります (bsc#1251258)。
     - CVE-2025-58186 net/http: Cookie を解析する際の制限がないため、メモリを枯渇させる可能性があります (bsc#1251259)。
     - CVE-2025-58187 crypto/x509: 名前制約のチェックにおけるの二次的な複雑性 (bsc#1251254)。
     - CVE-2025-58188 crypto/x509: DSA 公開鍵で証明書を検証する際のパニック (bsc#1251260)。
     - CVE-2025-58189 crypto/tls: 攻撃者が制御する情報を含む ALPN ネゴシエーションエラー (bsc#1251255)。
     - CVE-2025-61723 encoding/pem: 一部の無効な入力を解析する際の二次的な複雑性 (bsc#1251256)。
     - CVE-2025-61724 net/textproto: Reader.ReadResponse の過剰な CPU 消費 (bsc#1251262)。
     - CVE-2025-61725 net/mail: ParseAddress の過剰な CPU 消費 (bsc#1251253)。
     - CVE-2025-61726 net/http: Request.ParseForm におけるメモリ枯渇 (bsc#1256817)。
     - CVE-2025-61727 crypto/x509: 除外されたサブドメイン制約は、ワイルドカード SAN を除外しません (bsc#1254430)。
     - CVE-2025-61728 archive/zip: 任意の ZIP アーカイブを解析する際のサービス拒否 (bsc#1256816)。
     - CVE-2025-61729 crypto/x509: ホスト証明書検証用のエラー文字列の出力での過剰なリソース消費 (bsc#1254431)。
     - CVE-2025-61730 crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (bsc#1256821)。
     - CVE-2025-61731 cmd/go: フラグサニタイズのバイパスにより、任意のコードが実行される可能性があります (bsc#1256819)。
     - CVE-2025-68119 cmd/go: ツールチェーンを呼び出す際の予期しないコードの実行 (bsc#1256820)。
     - CVE-2025-68121 crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (bsc#1256818)。

    その他の修正:

      * go#74822 cmd/go: 「get toolchain@latest」は、リリース候補を無視します
      * go#74999 net: WriteMsgUDPAddrPort は、IPv4 UDP ソケット上の IPv4 にマッピングされた IPv6 宛先アドレスを受け入れます
      * go#75008 os/exec: TestLookPath が CL 685755 後の plan9 で失敗します
      * go#75021 testing/synctest: バブルが終了しません
      * go#75083 os: File.Seek で Windows のオーバーラップ処理で正しいオフセットが設定されません
      * go#75111 os, syscall: ReadAt を呼び出す際に、FILE_FLAG_OVERLAPPED を伴うボリューム処理が失敗します
      * go#75116 os: 同じパスで同時に呼び出された場合、Root.MkdirAll は「file uses」を返す可能性があります
      * go#75139 os: Root.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスが失われています
      * go#75221 debug/pe: llvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * go#75255 cmd/compile: インターフェース経由でのみ参照される DWARF タイプにエクスポートします
      * go#75347 testing/synctest: 実行可能な goroutines がないテストタイムアウト
      * go#75357 net: 新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が plan9 で失敗します
      * go#75480 cmd/link: 複雑な汎用インライン化でのリンカーパニックと再配置のエラー
      * go#75524 crypto/internal/fips140/rsa: セルフテストが失敗した場合、パニックが必要です
      * go#75537 context: Done チャネルが閉じられる前に、Err が非 nil を返す可能性があります
      * go#75539 net/http: 内部エラー: connCount アンダーフロー
      * go#75595 cmd/compile: github.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * go#75610 sync/atomic: Uintptr.Or のコメントが不適切な戻り値を説明しています
      * go#75669 runtime: debug.decoratemappings が期待通りに機能しません
      * go#75775 runtime: linux/arm64 で実行している linux/amd64 用の QEMU を介して実行する際、ビルドが失敗します
      * go#75777 spec: Go1.25 の仕様は実際のリリース日の直近にする必要があります
      * go#75790 crypto/internal/fips140/subtle: Go 1.25 notes.xorBytes の MIPS におけるパニック
      * go#75832net/url: ipv4 にマッピングされた ipv6 アドレスは、角括弧内で有効である必要があります
      * go#75861 crypto/x509: 末尾のドットにより FQDN で TLS 検証が失敗します
      * go#75952 encoding/pem: 先頭のガベージがあるブロックをデコードする際の回帰
      * go#75989 os: Windows で、RemoveAll が読み取り専用ファイルを含むディレクトリを削除する際に、unlinkat でエラーが発生し... アクセスが拒否されます
      * go#76010 cmd/compile: any(func(){})==any(func(){}) はパニックにはなりませんが、
      * go#76029 pem/encoding: 無効な形式の行末がパニックを引き起こす可能性があります
      * go#76245 mime: FormatMediaType と ParseMediaType の 1.24 から 1.25まで互換性はありません
      * go#76360 os: Windows で、RemoveAll が読み取り専用ファイルを含むディレクトリを削除する際に、unlinkat でエラーが発生し... アクセスが拒否され、ReOpenFile のエラー処理がフォローアップされます
      * go#76392 os: Stdin がブロックされると、パッケージ初期化がハングアップします
      * go#76409 crypto/tls: ECH が有効な場合、earlyTrafficSecret は ClientHelloInner を使用します
      * go#76620 os: Unix で、Readdirnames がゼロ inode のディレクトリエントリをスキップします
      * go#76761 runtime: Go 1.25.4 Windows 386 での os/signal における不適切なでのスタック分割
      * go#76776 runtime: ppc64le の競合検出器クラッシュ
      * go#76967 cmd/compile/internal/ssa: Compile.func1(): <function> のコンパイル中の sccp パニック: 
    ランタイムエラー: 範囲外のインデックス
      * go#76973 errors: errors.Join の動作が 1.25 で変更されました

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:20623-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 1.25.7 にアップデートしてください (jsc#SLE-18320)
    - CVE-2025-61730: crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (bsc#1256821)
    - CVE-2025-68119: cmd/go: ツールチェーンを呼び出す際の予期しないコードの実行 (bsc#1256820)
    - CVE-2025-61731: cmd/go: フラグサニタイズのバイパスにより、任意のコードが実行される可能性があります (bsc#1256819)
    - CVE-2025-61726: net/http: Request.ParseForm におけるメモリ枯渇 (bsc#1256817)
    - CVE-2025-61728: archive/zip: 任意の ZIP アーカイブ解析時のサービス拒否 (bsc#1256816)
    - CVE-2025-68121: crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (bsc#1256818)
    - CVE-2025-61729: crypto/x509: ホスト証明書検証用のエラー文字列の出力での過剰なリソース消費 (bsc#1254431)
    - CVE-2025-61727: crypto/x509: 除外されたサブドメイン制約は、ワイルドカード SA を除外しません (bsc#1254430)
    - CVE-2025-58189: crypto/tls: 攻撃者が制御する情報を含む ALPN ネゴシエーションエラー (bsc#1251255)
    - CVE-2025-61725: net/mail: ParseAddress の過剰な CPU 消費 (bsc#1251253)
    - CVE-2025-58188: crypto/x509: DSA 公開鍵で証明書を検証する際のパニック (bsc#1251260)
    - CVE-2025-58185: encoding/asn1: DER ペイロードを解析する際にメモリを事前に割り当てると、メモリを枯渇させる可能性があります (bsc#1251258)
    - CVE-2025-58186: net/http: Cookie を解析する際の制限がないため、メモリを枯渇させる可能性があります (bsc#1251259)
    - CVE-2025-61723: encoding/pem: 一部の無効な入力を解析する際の二次的な複雑性 (bsc#1251256)
    - CVE-2025-58183: archive/tar: GNU スパースマップを解析する際の無制限割り当て (bsc#1251261)
    - CVE-2025-47912: net/url: 括弧付き IPv6 ホスト名の検証が不十分 (bsc#1251257)
    - CVE-2025-58187: crypto/x509: 名前制約のチェックにおけるの二次的な複雑性 (bsc#1251254)
    - CVE-2025-61724: net/textproto: Reader.ReadResponse の過剰な CPU 消費 (bsc#1251262)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
274676	Amazon Linux 2amazon-ecr-credential-helper、 --advisory ALAS2DOCKER-2025-079ALASDOCKER-2025-079	Nessus	Amazon Linux Local Security Checks	2025/11/11	2026/1/21	medium
274683	Amazon Linux 2nerdctl、 --advisory ALAS2-2025-3070ALAS-2025-3070]	Nessus	Amazon Linux Local Security Checks	2025/11/11	2026/1/21	medium
278759	SUSE SLES16 セキュリティ更新go1.25SUSE-SU-2025:21192-1	Nessus	SuSE Local Security Checks	2025/12/16	2025/12/16	medium
278641	openSUSE 16 セキュリティ更新go1.24openSUSE-SU-2025:20158-1	Nessus	SuSE Local Security Checks	2025/12/15	2025/12/16	medium
278642	openSUSE 16 セキュリティ更新go1.25openSUSE-SU-2025:20157-1	Nessus	SuSE Local Security Checks	2025/12/15	2025/12/16	medium
296982	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : go1.25-openssl (SUSE-SU-2026:0298-1)	Nessus	SuSE Local Security Checks	2026/1/28	2026/2/11	critical
301416	SUSE SLES16 セキュリティ更新 : go1.25-openssl (SUSE-SU-2026:20623-1)	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

critical

critical