Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：Go 弱點 (USN-8935-1)
critical Nessus Plugin ID 367749
語言:
概要
遠端 Ubuntu 主機缺少一個或多個安全性更新。說明
遠端 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主機上安裝的套件受到 USN-8935-1 公告中所提及的多個弱點影響。據發現，Go 在剖析深度巢狀 ASN.1 結構時並未強制執行最大遞迴深度。攻擊者可能會利用此問題導致 Go 當機，進而造成拒絕服務。（CVE-2026-33818）
據發現，Go 在解碼 XML 元素時，錯誤地重設了深度計數器。攻擊者可能會利用此問題，透過深度巢狀 XML 輸入導致 Go 當機，進而造成拒絕服務。（CVE-2026-56859）
據發現，Go 在交握完成後未正確處理 TLS KeyUpdate 訊息。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-56862）
據發現，Go 未針對其父項正確驗證總和檢查碼資料庫圖塊。控制惡意模組 Proxy 的攻擊者可能會利用此問題來繞過總和檢查碼資料庫驗證並提供惡意模組內容。（CVE-2026-56865）
據發現，在具有要求內文的 HTTP/1 CONNECT 要求遭到拒絕後，Go HTTP 用戶端錯誤地傳回了與閒置集區的連線。遠端攻擊者可能會利用此問題對反向 Proxy 進行 HTTP 回應中毒攻擊。（CVE-2026-56866）
據發現，Go HTTP/2 伺服器並未將標頭限制套用至 Trailer 標頭。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-78659）
據發現，Go HTTP/2 實作在轉送回應時並未移除格式錯誤的框架相關標頭。當 Go 充當反向 Proxy 時，遠端攻擊者可能會利用此問題執行 HTTP 回應走私攻擊。（CVE-2026-78660）
據發現，在某些情況下，Go HTTP/2 伺服器可能會針對同一資料退還兩次連線層級流量控制。遠端攻擊者可能會利用此問題來繞過已設定的連線層級流量控制限制。（CVE-2026-78663）
據發現，Go 在透過 HTTP 提供內容時，並未限制剖析的 Range 標頭的大小。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-78667）
據發現，Go HTTP/2 實作錯誤地處理了改變初始視窗大小的 SETTINGS 框架。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-78669）
據發現，Go HTTP 伺服器在對 HTTP/1 CONNECT 要求傳送成功回應後，繼續在連線上提供請求。遠端攻擊者可能利用此問題，發動 HTTP 要求走私攻擊。(CVE-2026-94439)
據發現，在剖析多部分表單時，Go 不會在部分的第一行強制執行記憶體限制。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-94440）
Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 golang-1.22、golang-1.22-go 和 / 或 golang-1.22-src 套件。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 367749
檔案名稱: ubuntu_USN-8935-1.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/10/20
已更新: 2026/10/20
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.9
百分位數: 58.46
CVSS v2
風險因素: High
基本分數: 9.4
時間性分數: 7
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS 評分資料來源: CVE-2026-78663
CVSS v3
風險因素: Critical
基本分數: 9.1
時間性分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:golang-1.22-go, p-cpe:/a:canonical:ubuntu_linux:golang-1.22-src, p-cpe:/a:canonical:ubuntu_linux:golang-1.22
必要的 KB 項目: Host/cpu, Host/Debian/dpkg-l, Host/Ubuntu, Host/Ubuntu/release
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/10/19
弱點發布日期: 2026/8/13
參考資訊
CVE: CVE-2026-33818, CVE-2026-56859, CVE-2026-56862, CVE-2026-56865, CVE-2026-56866, CVE-2026-78659, CVE-2026-78660, CVE-2026-78663, CVE-2026-78667, CVE-2026-78669, CVE-2026-94439, CVE-2026-94440
USN: 8935-1