Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 悪意のあるモジュールプロキシが go コマンドによるモジュールチェックサム検証の欠陥を悪用して、チェックサムデータベース検証をバイパスする可能性があります。この脆弱性は、信頼できないモジュールプロキシ(GOMODPROXY)またはチェックサムデータベース(GOSUMDB)を使用するすべてのユーザーに影響を与えます。悪意のあるモジュールプロキシが、Go ツールチェーンの変更されたバージョンを提供する可能性があります。現在インストールされているツールチェーンとは異なるバージョンの Go ツールチェーンを選択すると (GOTOOLCHAIN 環境変数、あるいはツールチェーンラインのある go.work または go.mod が原因)、go コマンドは、モジュールプロキシによって提供されたツールチェーンをダウンロードして実行します。悪意のあるモジュールプロキシが、このダウンロードされたツールチェーンのチェックサムデータベース検証をバイパスする可能性があります。この脆弱性はツールチェーンダウンロードのセキュリティに影響を与えるため、GOTOOLCHAIN を固定バージョンに設定するだけでは不十分です。基本のGoツールチェーンをアップグレードする必要があります。goツールは、ツールチェーンの実行前に常にツールチェーンのハッシュを検証するため、修正済みバージョンはツールチェーンのキャッシュまたは変更されたバージョンの実行を拒否します。goツールはgo.sumファイルを信頼し、現在のモジュールの依存関係の正確なハッシュが含まれています。この脆弱性を悪用して変更されたモジュールを提供する悪意のあるプロキシは、go.sum に不適切なハッシュが記録される原因となります。信頼できない GOPROXY を構成したユーザーは、rm go.sum の実行によって影響を受けたかどうかを判断できます。モッズを整えてください。go mod verify を実行し、現在のモジュールのすべての依存関係を再検証します。特定の欠陥の詳細:モジュールがgo.sumファイルにリストされていないとき、goコマンドはチェックサムデータベースを参照してダウンロードされたモジュールを検証します。チェックサムデータベースによって報告されたモジュールハッシュが、ダウンロードされたモジュールのハッシュと一致することを検証します。ただし、チェックサムデータベースがモジュールのエントリを含んでいない正常な応答を返す場合は、go コマンドが検証を誤って許可していました。モジュールプロキシはチェックサムデータベースをミラーまたはプロキシすることがありますが、その場合、goコマンドはチェックサムデータベースに直接接続しません。チェックサムデータベースによって報告されたチェックサムは暗号で署名されているため、悪意のあるプロキシは、報告されたモジュールのチェックサムを変更しません。ただし、空のチェックサム応答、または関連のないモジュールのチェックサム応答を返すプロキシにより、ダウンロードされたモジュールが検証されたかのようにgoコマンドが続行する可能性があります。
    (CVE-2026-42501)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている golang のバージョンは 1.25.10-1 より前のものです。したがって、ALAS2-2026-3313 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

    HTTP/2 SETTINGS フレームを処理するときに、値が 0 のSETTINGS_MAX_FRAME_SIZEを受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

    go tool pack サブコマンド(通常、既知の良好な入力がある内部ツールとしてコンパイラによってのみ使用されます)は、出力ファイル名をサニタイズしません。packサブコマンドを使用して悪意のあるアーカイブファイルを抽出すると、ファイルシステム上の任意の場所にファイルが書き込まれる可能性があります。(CVE-2026-39817)

    go bugコマンドは、システムの一時ディレクトリ(/tmpなど)にある予測可能な名前を持つ2つのファイルに書き込みます。一時ディレクトリにアクセスできる攻撃者が、これらの名前のいずれかでシンボリックリンクを作成し、goバグにシンボリックリンクのターゲットを上書きさせる可能性があります。(CVE-2026-39819)

    ParseAddress、ParseAddressList、ParseDateに到達する巧妙に細工された入力が、過剰なCPU消耗とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

    CVE-2026-27142 URL が <meta> タグの <content> 属性内で正しくエスケープされない脆弱性を修正しました。URL コンテンツが <content> 属性内の「=」ルーンの周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にエスケープできず、XSS が発生します。(CVE-2026-39823)

    ReverseProxy は、Rewrite 関数に表示されないパラメーターを含むクエリを転送する可能性があります。Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用される場合、ReverseProxy は転送されたリクエストをサニタイズし、URL によって解析されないクエリパラメーターを削除します。ParseQuery。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される)クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。これにより、ReverseProxy は、Rewrite 関数に対して表示されないクエリパラメーターを含むリクエストを転送できる可能性があります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y は、パラメーター hidden=y を転送しながら、プロキシの再書き込み関数でこれを非表示にすることができます。(CVE-2026-39825)

    信頼できるテンプレート作成者が、空の「type」属性または ASCII 空白のある「type」属性を含む <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

    RFC 5322 にしたがってメールアドレスを解析する際、異常な入力により consumePhrase を介した DoS が引き起こされる可能性があります。(CVE-2026-42499)

    悪意のあるモジュールプロキシが go コマンドによるモジュールチェックサム検証の欠陥を悪用して、チェックサムデータベース検証をバイパスする可能性があります。この脆弱性は、信頼できないモジュールプロキシ(GOMODPROXY)またはチェックサムデータベース(GOSUMDB)を使用するすべてのユーザーに影響を与えます。悪意のあるモジュールプロキシが、Go ツールチェーンの変更されたバージョンを提供する可能性があります。現在インストールされているツールチェーンとは異なるバージョンの Go ツールチェーンを選択すると (GOTOOLCHAIN 環境変数、あるいはツールチェーンラインのある go.work または go.mod が原因)、go コマンドは、モジュールプロキシによって提供されたツールチェーンをダウンロードして実行します。悪意のあるモジュールプロキシが、このダウンロードされたツールチェーンのチェックサムデータベース検証をバイパスする可能性があります。この脆弱性はツールチェーンダウンロードのセキュリティに影響を与えるため、GOTOOLCHAIN を固定バージョンに設定するだけでは不十分です。基本のGoツールチェーンをアップグレードする必要があります。goツールは、ツールチェーンの実行前に常にツールチェーンのハッシュを検証するため、修正済みバージョンはツールチェーンのキャッシュまたは変更されたバージョンの実行を拒否します。goツールはgo.sumファイルを信頼し、現在のモジュールの依存関係の正確なハッシュが含まれています。この脆弱性を悪用して変更されたモジュールを提供する悪意のあるプロキシは、go.sum に不適切なハッシュが記録される原因となります。信頼できない GOPROXY を構成したユーザーは、rm go.sum の実行によって影響を受けたかどうかを判断できます。モッズを整えてください。go mod verify を実行し、現在のモジュールのすべての依存関係を再検証します。特定の欠陥の詳細:モジュールがgo.sumファイルにリストされていないとき、goコマンドはチェックサムデータベースを参照してダウンロードされたモジュールを検証します。チェックサムデータベースによって報告されたモジュールハッシュが、ダウンロードされたモジュールのハッシュと一致することを検証します。ただし、チェックサムデータベースがモジュールのエントリを含んでいない正常な応答を返す場合は、go コマンドが検証を誤って許可していました。モジュールプロキシはチェックサムデータベースをミラーまたはプロキシすることがありますが、その場合、goコマンドはチェックサムデータベースに直接接続しません。チェックサムデータベースによって報告されたチェックサムは暗号で署名されているため、悪意のあるプロキシは、報告されたモジュールのチェックサムを変更しません。ただし、空のチェックサム応答、または関連のないモジュールのチェックサム応答を返すプロキシにより、ダウンロードされたモジュールが検証されたかのようにgoコマンドが続行する可能性があります。
    (CVE-2026-42501)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行している Golang のバージョンは、1.25.10 より前の 1.25.x、または 1.26.3 より前の 1.26.x です。そのため、以下を含む複数の脆弱性による影響を受けます:

- net パッケージの LookupCNAME 関数により、cgo DNS リゾルバーが非常に長い CNAME 応答で使用している場合に、二重解放クラッシュが発生する可能性があります。(CVE-2026-33811)  

-「go bug」コマンドのシンボリックリンク処理の欠陥により、攻撃者がシステムの一時ディレクトリにあるファイルを上書きできる可能性があります。(CVE-2026-39819)

  - net、net/mail、html/template に影響する他の欠陥は、サービス拒否または不適切な出力エスケープのために悪用される可能性があります。(CVE-2026-39836、 CVE-2026-42499、 CVE-2026-39820、 CVE-2026-39826)Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1861-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.26用のこの更新プログラムでは、次の問題が修正されています

    セキュリティ問題:

    - CVE-2026-33811:net:長い CNAME 応答を処理する際にクラッシュします(bsc#1264508)。
    - CVE-2026-33814:net/http:不良なSETTINGS_MAX_FRAME_SIZEが与えられた際の HTTP/2 トランスポートの無限ループ(bsc#1264506)。
    - CVE-2026-39817:cmd/go:「go tool pack」は出力パスをサニタイズしません(bsc#1264505)。
    - CVE-2026-39819:cmd/go:「go bug」が予測可能な一時ファイル名のシンボリックリンクをたどります(bsc#1264504)。
    - CVE-2026-39820:net/mail:consumeComment での二次文字列の連結(bsc#1264503)。
    - CVE-2026-39823:html/template:メタコンテンツ URL エスケープのバイパスにより XSS が発生(bsc#1264509)。
    - CVE-2026-39825:net/http/httputil:ReverseProxy は、urlmaxqueryparams パラメーター(bsc#1264500)以上のクエリを転送します。
    - CVE-2026-39826:html/template:XSS につながるエスケープのバイパス(bsc#1264507)。
    - CVE-2026-39836:net:Windows 上の NULL バイトを処理する際の Dial および LookupPort におけるパニック(bsc#1264501)。
    - CVE-2026-42499:net/mail:consumePhrase における二次文字列の連結(bsc#1264502)。
    - CVE-2026-42501:cmd/go:悪意のあるモジュールプロキシがチェックサムデータベース(bsc#1264499)をバイパスする可能性があります。

    非セキュリティ問題:

    - go1.26 リリース追跡(bsc#1255111)。
    - Go パッケージに binutils-gold の依存関係がありません(bsc#1170826)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1743 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

    HTTP/2 SETTINGS フレームを処理するときに、値が 0 のSETTINGS_MAX_FRAME_SIZEを受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

    go tool pack サブコマンド(通常、既知の良好な入力がある内部ツールとしてコンパイラによってのみ使用されます)は、出力ファイル名をサニタイズしません。packサブコマンドを使用して悪意のあるアーカイブファイルを抽出すると、ファイルシステム上の任意の場所にファイルが書き込まれる可能性があります。(CVE-2026-39817)

    go bugコマンドは、システムの一時ディレクトリ(/tmpなど)にある予測可能な名前を持つ2つのファイルに書き込みます。一時ディレクトリにアクセスできる攻撃者が、これらの名前のいずれかでシンボリックリンクを作成し、goバグにシンボリックリンクのターゲットを上書きさせる可能性があります。(CVE-2026-39819)

    ParseAddress、ParseAddressList、ParseDateに到達する巧妙に細工された入力が、過剰なCPU消耗とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

    CVE-2026-27142 URL が <meta> タグの <content> 属性内で正しくエスケープされない脆弱性を修正しました。URL コンテンツが <content> 属性内の「=」ルーンの周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にエスケープできず、XSS が発生します。(CVE-2026-39823)

    ReverseProxy は、Rewrite 関数に表示されないパラメーターを含むクエリを転送する可能性があります。Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用される場合、ReverseProxy は転送されたリクエストをサニタイズし、URL によって解析されないクエリパラメーターを削除します。ParseQuery。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される)クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。これにより、ReverseProxy は、Rewrite 関数に対して表示されないクエリパラメーターを含むリクエストを転送できる可能性があります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y は、パラメーター hidden=y を転送しながら、プロキシの再書き込み関数でこれを非表示にすることができます。(CVE-2026-39825)

    信頼できるテンプレート作成者が、空の「type」属性または ASCII 空白のある「type」属性を含む <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

    RFC 5322 にしたがってメールアドレスを解析する際、異常な入力により consumePhrase を介した DoS が引き起こされる可能性があります。(CVE-2026-42499)

    悪意のあるモジュールプロキシが go コマンドによるモジュールチェックサム検証の欠陥を悪用して、チェックサムデータベース検証をバイパスする可能性があります。この脆弱性は、信頼できないモジュールプロキシ(GOMODPROXY)またはチェックサムデータベース(GOSUMDB)を使用するすべてのユーザーに影響を与えます。悪意のあるモジュールプロキシが、Go ツールチェーンの変更されたバージョンを提供する可能性があります。現在インストールされているツールチェーンとは異なるバージョンの Go ツールチェーンを選択すると (GOTOOLCHAIN 環境変数、あるいはツールチェーンラインのある go.work または go.mod が原因)、go コマンドは、モジュールプロキシによって提供されたツールチェーンをダウンロードして実行します。悪意のあるモジュールプロキシが、このダウンロードされたツールチェーンのチェックサムデータベース検証をバイパスする可能性があります。この脆弱性はツールチェーンダウンロードのセキュリティに影響を与えるため、GOTOOLCHAIN を固定バージョンに設定するだけでは不十分です。基本のGoツールチェーンをアップグレードする必要があります。goツールは、ツールチェーンの実行前に常にツールチェーンのハッシュを検証するため、修正済みバージョンはツールチェーンのキャッシュまたは変更されたバージョンの実行を拒否します。goツールはgo.sumファイルを信頼し、現在のモジュールの依存関係の正確なハッシュが含まれています。この脆弱性を悪用して変更されたモジュールを提供する悪意のあるプロキシは、go.sum に不適切なハッシュが記録される原因となります。信頼できない GOPROXY を構成したユーザーは、rm go.sum の実行によって影響を受けたかどうかを判断できます。モッズを整えてください。go mod verify を実行し、現在のモジュールのすべての依存関係を再検証します。特定の欠陥の詳細:モジュールがgo.sumファイルにリストされていないとき、goコマンドはチェックサムデータベースを参照してダウンロードされたモジュールを検証します。チェックサムデータベースによって報告されたモジュールハッシュが、ダウンロードされたモジュールのハッシュと一致することを検証します。ただし、チェックサムデータベースがモジュールのエントリを含んでいない正常な応答を返す場合は、go コマンドが検証を誤って許可していました。モジュールプロキシはチェックサムデータベースをミラーまたはプロキシすることがありますが、その場合、goコマンドはチェックサムデータベースに直接接続しません。チェックサムデータベースによって報告されたチェックサムは暗号で署名されているため、悪意のあるプロキシは、報告されたモジュールのチェックサムを変更しません。ただし、空のチェックサム応答、または関連のないモジュールのチェックサム応答を返すプロキシにより、ダウンロードされたモジュールが検証されたかのようにgoコマンドが続行する可能性があります。
    (CVE-2026-42501)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1862-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    このgo1.25用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題

    セキュリティ問題:

    - CVE-2026-33811:net:長い CNAME 応答を処理する際にクラッシュします(bsc#1264508)。
    - CVE-2026-33814:net/http:不良なSETTINGS_MAX_FRAME_SIZEが与えられた際の HTTP/2 トランスポートの無限ループ(bsc#1264506)。
    - CVE-2026-39817:cmd/go:「go tool pack」は出力パスをサニタイズしません(bsc#1264505)。
    - CVE-2026-39819:cmd/go:「go bug」が予測可能な一時ファイル名のシンボリックリンクをたどります(bsc#1264504)。
    - CVE-2026-39820:net/mail:consumeComment での二次文字列の連結(bsc#1264503)。
    - CVE-2026-39823:html/template:メタコンテンツ URL エスケープのバイパスにより XSS が発生(bsc#1264509)。
    - CVE-2026-39825:net/http/httputil:ReverseProxy は、urlmaxqueryparams パラメーター(bsc#1264500)以上のクエリを転送します。
    - CVE-2026-39826:html/template:XSS につながるエスケープのバイパス(bsc#1264507)。
    - CVE-2026-39836:net:Windows 上の NULL バイトを処理する際の Dial および LookupPort におけるパニック(bsc#1264501)。
    - CVE-2026-42499:net/mail:consumePhrase における二次文字列の連結(bsc#1264502)。
    - CVE-2026-42501:cmd/go:悪意のあるモジュールプロキシがチェックサムデータベース(bsc#1264499)をバイパスする可能性があります。

    非セキュリティ問題:

    - go1.25.10(bsc#1244485)に更新しました。
    - Go パッケージに binutils-gold の依存関係がありません(bsc#1170826)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
313248	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42501	Nessus	Misc.	2026/5/8	2026/5/22	high
316999	Amazon Linux 2 : golang, --advisory ALAS2-2026-3313 (ALAS-2026-3313)	Nessus	Amazon Linux Local Security Checks	2026/5/27	2026/5/27	medium
314962	Golang 1.25.x < 1.25.10 / 1.26.x < 1.26.3 の複数の脆弱性	Nessus	Misc.	2026/5/15	2026/5/18	medium
315037	SUSE SLED15 / SLES15 セキュリティ更新 : go1.26 (SUSE-SU-2026:1861-1)	Nessus	SuSE Local Security Checks	2026/5/16	2026/5/16	medium
316931	Amazon Linux 2023 : golang、golang-bin、golang-misc (ALAS2023-2026-1743)	Nessus	Amazon Linux Local Security Checks	2026/5/27	2026/5/27	medium
315061	SUSE SLED15 / SLES15 セキュリティ更新 : go1.25 (SUSE-SU-2026:1862-1)	Nessus	SuSE Local Security Checks	2026/5/16	2026/5/16	medium

検出

プラグインの検索

high

medium

medium

medium

medium

medium