リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1861-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.26用のこの更新プログラムでは、次の問題が修正されています

    セキュリティ問題:

    - CVE-2026-33811:net:長い CNAME 応答を処理する際にクラッシュします(bsc#1264508)。
    - CVE-2026-33814:net/http:不良なSETTINGS_MAX_FRAME_SIZEが与えられた際の HTTP/2 トランスポートの無限ループ(bsc#1264506)。
    - CVE-2026-39817:cmd/go:「go tool pack」は出力パスをサニタイズしません(bsc#1264505)。
    - CVE-2026-39819:cmd/go:「go bug」が予測可能な一時ファイル名のシンボリックリンクをたどります(bsc#1264504)。
    - CVE-2026-39820:net/mail:consumeComment での二次文字列の連結(bsc#1264503)。
    - CVE-2026-39823:html/template:メタコンテンツ URL エスケープのバイパスにより XSS が発生(bsc#1264509)。
    - CVE-2026-39825:net/http/httputil:ReverseProxy は、urlmaxqueryparams パラメーター(bsc#1264500)以上のクエリを転送します。
    - CVE-2026-39826:html/template:XSS につながるエスケープのバイパス(bsc#1264507)。
    - CVE-2026-39836:net:Windows 上の NULL バイトを処理する際の Dial および LookupPort におけるパニック(bsc#1264501)。
    - CVE-2026-42499:net/mail:consumePhrase における二次文字列の連結(bsc#1264502)。
    - CVE-2026-42501:cmd/go:悪意のあるモジュールプロキシがチェックサムデータベース(bsc#1264499)をバイパスする可能性があります。

    非セキュリティ問題:

    - go1.26 リリース追跡(bsc#1255111)。
    - Go パッケージに binutils-gold の依存関係がありません(bsc#1170826)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行している Golang のバージョンは、1.25.10 より前の 1.25.x、または 1.26.3 より前の 1.26.x です。そのため、以下を含む複数の脆弱性による影響を受けます:

- net パッケージの LookupCNAME 関数により、cgo DNS リゾルバーが非常に長い CNAME 応答で使用している場合に、二重解放クラッシュが発生する可能性があります。(CVE-2026-33811)  

-「go bug」コマンドのシンボリックリンク処理の欠陥により、攻撃者がシステムの一時ディレクトリにあるファイルを上書きできる可能性があります。(CVE-2026-39819)

  - net、net/mail、html/template に影響する他の欠陥は、サービス拒否または不適切な出力エスケープのために悪用される可能性があります。(CVE-2026-39836、 CVE-2026-42499、 CVE-2026-39820、 CVE-2026-39826)Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1862-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    このgo1.25用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題

    セキュリティ問題:

    - CVE-2026-33811:net:長い CNAME 応答を処理する際にクラッシュします(bsc#1264508)。
    - CVE-2026-33814:net/http:不良なSETTINGS_MAX_FRAME_SIZEが与えられた際の HTTP/2 トランスポートの無限ループ(bsc#1264506)。
    - CVE-2026-39817:cmd/go:「go tool pack」は出力パスをサニタイズしません(bsc#1264505)。
    - CVE-2026-39819:cmd/go:「go bug」が予測可能な一時ファイル名のシンボリックリンクをたどります(bsc#1264504)。
    - CVE-2026-39820:net/mail:consumeComment での二次文字列の連結(bsc#1264503)。
    - CVE-2026-39823:html/template:メタコンテンツ URL エスケープのバイパスにより XSS が発生(bsc#1264509)。
    - CVE-2026-39825:net/http/httputil:ReverseProxy は、urlmaxqueryparams パラメーター(bsc#1264500)以上のクエリを転送します。
    - CVE-2026-39826:html/template:XSS につながるエスケープのバイパス(bsc#1264507)。
    - CVE-2026-39836:net:Windows 上の NULL バイトを処理する際の Dial および LookupPort におけるパニック(bsc#1264501)。
    - CVE-2026-42499:net/mail:consumePhrase における二次文字列の連結(bsc#1264502)。
    - CVE-2026-42501:cmd/go:悪意のあるモジュールプロキシがチェックサムデータベース(bsc#1264499)をバイパスする可能性があります。

    非セキュリティ問題:

    - go1.25.10(bsc#1244485)に更新しました。
    - Go パッケージに binutils-gold の依存関係がありません(bsc#1170826)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
315037	SUSE SLED15 / SLES15 セキュリティ更新 : go1.26 (SUSE-SU-2026:1861-1)	Nessus	SuSE Local Security Checks	2026/5/16	2026/5/16	medium
314962	Golang 1.25.x < 1.25.10 / 1.26.x < 1.26.3 の複数の脆弱性	Nessus	Misc.	2026/5/15	2026/5/18	medium
315061	SUSE SLED15 / SLES15 セキュリティ更新 : go1.25 (SUSE-SU-2026:1862-1)	Nessus	SuSE Local Security Checks	2026/5/16	2026/5/16	medium

検出

プラグインの検索

medium

medium

medium