遠端 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主機上安裝的套件受到 USN-8935-1 公告中所提及的多個弱點影響。

    據發現，Go 在剖析深度巢狀 ASN.1 結構時並未強制執行最大遞迴深度。攻擊者可能會利用此問題導致 Go 當機，進而造成拒絕服務。（CVE-2026-33818）

    據發現，Go 在解碼 XML 元素時，錯誤地重設了深度計數器。攻擊者可能會利用此問題，透過深度巢狀 XML 輸入導致 Go 當機，進而造成拒絕服務。（CVE-2026-56859）

    據發現，Go 在交握完成後未正確處理 TLS KeyUpdate 訊息。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-56862）

    據發現，Go 未針對其父項正確驗證總和檢查碼資料庫圖塊。控制惡意模組 Proxy 的攻擊者可能會利用此問題來繞過總和檢查碼資料庫驗證並提供惡意模組內容。（CVE-2026-56865）

    據發現，在具有要求內文的 HTTP/1 CONNECT 要求遭到拒絕後，Go HTTP 用戶端錯誤地傳回了與閒置集區的連線。遠端攻擊者可能會利用此問題對反向 Proxy 進行 HTTP 回應中毒攻擊。（CVE-2026-56866）

    據發現，Go HTTP/2 伺服器並未將標頭限制套用至 Trailer 標頭。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-78659）

    據發現，Go HTTP/2 實作在轉送回應時並未移除格式錯誤的框架相關標頭。當 Go 充當反向 Proxy 時，遠端攻擊者可能會利用此問題執行 HTTP 回應走私攻擊。（CVE-2026-78660）

    據發現，在某些情況下，Go HTTP/2 伺服器可能會針對同一資料退還兩次連線層級流量控制。遠端攻擊者可能會利用此問題來繞過已設定的連線層級流量控制限制。（CVE-2026-78663）

    據發現，Go 在透過 HTTP 提供內容時，並未限制剖析的 Range 標頭的大小。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-78667）

    據發現，Go HTTP/2 實作錯誤地處理了改變初始視窗大小的 SETTINGS 框架。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-78669）

    據發現，Go HTTP 伺服器在對 HTTP/1 CONNECT 要求傳送成功回應後，繼續在連線上提供請求。遠端攻擊者可能利用此問題，發動 HTTP 要求走私攻擊。(CVE-2026-94439)

    據發現，在剖析多部分表單時，Go 不會在部分的第一行強制執行記憶體限制。遠端攻擊者可能會利用此問題導致 Go 使用過多資源，進而造成拒絕服務。（CVE-2026-94440）

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 golang 版本早於 1.26.7-1。因此，它會受到 ALAS2-2026-3893 公告中所提及的多個弱點影響。

    在 Unmarshal 中強制執行遞迴限制，以防止在剖析深巢遞迴結構時堆疊耗盡。（CVE-2026-33818）

    當伺服器設定為支援未加密的 HTTP/2 時，它會從每個新連線讀取幾個位元組，以查看它們是否包含 HTTP/2 用戶端前置詞。執行此動作時，意外地未套用 ReadHeaderTimeout。（CVE-2026-56853）

    以前，病態輸入可能會提前關閉未逸出的「/」，從而允許攻擊控制的資料注入任意內容，從而可能導致 XSS。（CVE-2026-56858）

    以前，DecodeElement 會重設深度計數器，使其永遠不會引發;這可能會導致堆疊耗盡。（CVE-2026-56859）

    以前，解析包含父目錄 （'..'） 段的相對路徑會在每個步驟中執行字串轉換和緩衝區重寫，導致二次時間複雜度和記憶體配置開銷高。現在，路徑解析在位元組緩衝區上運行，使用基於索引的回溯來對「..」段進行操作，從而消除了二次時間複雜度並顯著減少了記憶體分配。
    (CVE-2026-56860)

    交握訊息 （例如 KeyUpdate） 一律會被視為狀態前進，不論交握是否已完成。因此，惡意用戶端可以不斷傳送 KeyUpdate 訊息，以強制伺服器無限期地繼續執行金鑰衍生作業。（CVE-2026-56862）

    惡意 GOSUMDB 能夠提供透明度記錄中未包含的任意模組內容。此攻擊允許協調的 GOPROXY 和 GOSUMDB 向用戶端提供無法透過評估透明度日誌來偵測到的惡意模組內容。為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56864）

    惡意 GOPROXY 先前能夠偽造最多兩個 sumdb 圖塊，允許請求的模組繞過 GOSUMDB 檢查並將攻擊者控制的模組內容保存到本機 Go 模組快取中。此攻擊允許惡意 GOPROXY 提供無法透過評估透明度日誌來偵測到的惡意模組內容。所有圖塊現在都會針對其父項正確驗證。
    為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-2114 公告中所提及的多個弱點影響。

    在 Unmarshal 中強制執行遞迴限制，以防止在剖析深巢遞迴結構時堆疊耗盡。（CVE-2026-33818）

    當伺服器設定為支援未加密的 HTTP/2 時，它會從每個新連線讀取幾個位元組，以查看它們是否包含 HTTP/2 用戶端前置詞。執行此動作時，意外地未套用 ReadHeaderTimeout。（CVE-2026-56853）

    以前，病態輸入可能會提前關閉未逸出的「/」，從而允許攻擊控制的資料注入任意內容，從而可能導致 XSS。（CVE-2026-56858）

    以前，DecodeElement 會重設深度計數器，使其永遠不會引發;這可能會導致堆疊耗盡。（CVE-2026-56859）

    以前，解析包含父目錄 （'..'） 段的相對路徑會在每個步驟中執行字串轉換和緩衝區重寫，導致二次時間複雜度和記憶體配置開銷高。現在，路徑解析在位元組緩衝區上運行，使用基於索引的回溯來對「..」段進行操作，從而消除了二次時間複雜度並顯著減少了記憶體分配。
    (CVE-2026-56860)

    交握訊息 （例如 KeyUpdate） 一律會被視為狀態前進，不論交握是否已完成。因此，惡意用戶端可以不斷傳送 KeyUpdate 訊息，以強制伺服器無限期地繼續執行金鑰衍生作業。（CVE-2026-56862）

    惡意 GOSUMDB 能夠提供透明度記錄中未包含的任意模組內容。此攻擊允許協調的 GOPROXY 和 GOSUMDB 向用戶端提供無法透過評估透明度日誌來偵測到的惡意模組內容。為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56864）

    惡意 GOPROXY 先前能夠偽造最多兩個 sumdb 圖塊，允許請求的模組繞過 GOSUMDB 檢查並將攻擊者控制的模組內容保存到本機 Go 模組快取中。此攻擊允許惡意 GOPROXY 提供無法透過評估透明度日誌來偵測到的惡意模組內容。所有圖塊現在都會針對其父項正確驗證。
    為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 惡意 GOPROXY 先前能夠偽造最多兩個 sumdb 圖塊，讓請求的模組繞過 GOSUMDB 檢查，並將攻擊者控制的模組內容保存到本機 Go 模組快取中。此攻擊允許惡意 GOPROXY 提供無法透過評估透明度日誌來偵測到的惡意模組內容。所有圖塊現在都會針對其父項正確驗證。
    為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上執行的 Golang 為 1.25.13 之前的 1.25.x 版，或是 1.26.6 之前的 1.26.x 版。因此，會受到 golang-announce 公告中所提及的標準程式庫和工具鏈中的多個弱點影響。

  - ToASCII 和 ToUnicode 函式錯誤地接受解碼為僅限 ASCII 標籤的 Punycode 編碼標籤。這可能會導致使用 idna 套件的程式中的權限提升。
    (CVE-2026-39821)

  - 當伺服器配置為支援未加密的 HTTP/2 時，它會從每一個新連線讀取位元組，以檢查 HTTP/2 用戶端前置詞。以前，這是在沒有逾時的情況下完成的。ReadHeaderTimeout 現在會套用至此檢查。(CVE-2026-56853)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
367749	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：Go 弱點 (USN-8935-1)	Nessus	Ubuntu Local Security Checks	2026/10/20	2026/10/20	critical
341867	Amazon Linux 2：golang、--advisory ALAS2-2026-3893 (ALAS-2026-3893)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/8/31	high
341840	Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2026-2114)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/8/31	high
335371	Linux Distros 未修補弱點：CVE-2026-56865	Nessus	Misc.	2026/8/14	2026/10/19	high
335411	Golang 1.25.x < 1.25.13 / 1.26.x < 1.26.6 多個弱點	Nessus	Misc.	2026/8/14	2026/8/28	high

偵測

搜尋 Plugin

critical

high

high

high

high