リモートホストで実行されているGolangのバージョンは、より前の 1.24.x1.24.8、 1.25.x より前の 1.25.2です。したがって、qZN5nc-mBgAJアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - Parse 機能により、IPv6 アドレス以外の値が、URL のホストコンポーネント内で角括弧に含まれることを許可していました。RFC 3986では、IPv6アドレスを角括弧で囲み、ホストコンポーネントに含める可能性があります。例: 「http://[::1]/」。IPv4 アドレスとホスト名は、角括弧内に表示できません。解析 では、この要件が強制されていませんでした。CVE-2025-47912

  - tar.Reader は、GNU tar pax 1.0 スパースファイルのスパース領域データブロック数に最大サイズを設定していませんでした。悪意をもって細工されたアーカイブにより、Reader が無制限の量のデータをアーカイブからメモリへ読み取る可能性があります。圧縮されたソースから読み取るとき、小さな圧縮入力が大きな割り当てを引き起こす可能性があります。CVE-2025-58183

  - DSA パブリックキーを含む証明書チェーンを検証すると、Equal メソッドを実装すると想定するインターフェイスキャストによって、プログラムがパニックする可能性があります。これは、任意の証明書チェーンを検証するプログラムに影響を与えます。CVE-2025-58188

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - golang-1.15 - 无 golang-1.19 - 无 golang-1.23 - 无 golang-1.24 - 无 golang-1.25
    - 无 (CVE-2025-61723)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上运行的 Golang 版本为低于 1.24.8] 的 1.24.x 、低于 1.25.x 的 1.25.2。因此如 qZN5nc-mBgAJ 公告所述受到多个漏洞的影响。

  - Parse 函数允许 URL 的主机组件中的方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如“http://[::1]/”。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

  - tar.Reader 未为 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

  - 验证包含 DSA 公钥的证书链可造成程序错误这是由假设这些证书链实现 Equal 方法的接口转换所导致。这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Debian Linux - golang-1.15 - 無 golang-1.19 - 無 golang-1.23 - 無 golang-1.24 - 無 golang-1.25
    - 無 (CVE-2025-61723)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

The version of Golang running on the remote host is 1.24.x prior to 1.24.8, 1.25.x prior to 1.25.2. It is, therefore, affected by multiple vulnerabilities as referenced in qZN5nc-mBgAJ advisory.

  - The Parse function permitted values other than IPv6 addresses to be included in square brackets within     the host component of a URL. RFC 3986 permits IPv6 addresses to be included within the host component,     enclosed within square brackets. For example: 'http://[::1]/'. IPv4 addresses and hostnames must not     appear within square brackets. Parse did not enforce this requirement. (CVE-2025-47912)

  - tar.Reader did not set a maximum size on the number of sparse region data blocks in GNU tar pax 1.0     sparse files. A maliciously-crafted archive containing a large number of sparse regions could cause a     Reader to read an unbounded amount of data from the archive into memory. When reading from a compressed     source, a small compressed input could result in large allocations. (CVE-2025-58183)

  - Validating certificate chains which contain DSA public keys can cause programs to panic, due to a     interface cast that assumes they implement the Equal method. This affects programs which validate     arbitrary certificate chains. (CVE-2025-58188)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端主機上執行的 Golang 版本為比 1.24.x 舊的 1.24.8或比 1.25.x 舊的 1.25.2。因此會受到 qZN5nc-mBgAJ 公告中所提及的多個弱點影響。

  - Parse 函式允許將 IPv6 位址以外的值包含在 URL 主機元件的方括弧中。RFC 3986 允許將 IPv6 位址包含在主機元件內並用方括弧括起來。例如「http://[::1]/」。IPv4 位址和主機名稱不得出現在方括弧內。Parse 並未強制執行此需求。 (CVE-2025-47912)

  - tar.Reader 並未在 GNU tar pax 1.0 sparse 檔案中的疏鬆區域資料區塊數上設定大小上限。包含大量疏鬆區域的惡意特製封存可造成 Reader 將無限量的資料從封存讀取到記憶體中。從壓縮來源讀取時小型的壓縮輸入可導致大型配置。 (CVE-2025-58183)

  - 驗證包含 DSA 公開金鑰的憑證鏈可能導致程式發生錯誤這是因為介面轉換假設其實作 Equal 方法所致。這會影響驗證任意憑證鏈的程式。 (CVE-2025-58188)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Debian Linux - golang-1.15 - None  golang-1.19 - None  golang-1.23 - None  golang-1.24 - None  golang-1.25
    - None (CVE-2025-61723)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:03547-1 advisory.

    go1.25.2 (released 2025-10-07) includes security fixes to the     archive/tar, crypto/tls, crypto/x509, encoding/asn1,     encoding/pem, net/http, net/mail, net/textproto, and net/url     packages, as well as bug fixes to the compiler, the runtime, and     the context, debug/pe, net/http, os, and sync/atomic packages.  (bsc#1244485)

      CVE-2025-58189 CVE-2025-61725 CVE-2025-58188 CVE-2025-58185 CVE-2025-58186 CVE-2025-61723 CVE-2025-58183     CVE-2025-47912 CVE-2025-58187 CVE-2025-61724:

      * bsc#1251255 CVE-2025-58189: crypto/tls: ALPN negotiation error contains attacker controlled     information
      * bsc#1251253 CVE-2025-61725: net/mail: excessive CPU consumption in ParseAddress
      * bsc#1251260 CVE-2025-58188: crypto/x509: panic when validating certificates with DSA public keys
      * bsc#1251258 CVE-2025-58185: encoding/asn1: pre-allocating memory when parsing DER payload can cause     memory exhaustion
      * bsc#1251259 CVE-2025-58186: net/http: lack of limit when parsing cookies can cause memory exhaustion
      * bsc#1251256 CVE-2025-61723: encoding/pem: quadratic complexity when parsing some invalid inputs
      * bsc#1251261 CVE-2025-58183: archive/tar: unbounded allocation when parsing GNU sparse map
      * bsc#1251257 CVE-2025-47912: net/url: insufficient validation of bracketed IPv6 hostnames
      * bsc#1251254 CVE-2025-58187: crypto/x509: quadratic complexity when checking name constraints
      * bsc#1251262 CVE-2025-61724: net/textproto: excessive CPU consumption in Reader.ReadResponse

      * go#75111 os, syscall: volume handles with FILE_FLAG_OVERLAPPED fail when calling ReadAt
      * go#75116 os: Root.MkdirAll can return 'file exists' when called concurrently on the same path
      * go#75139 os: Root.OpenRoot sets incorrect name, losing prefix of original root
      * go#75221 debug/pe: pe.Open fails on object files produced by llvm-mingw 21
      * go#75255 cmd/compile: export to DWARF types only referenced through interfaces
      * go#75347 testing/synctest: test timeout with no runnable goroutines
      * go#75357 net: new test TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion fails on plan9
      * go#75524 crypto/internal/fips140/rsa: requires a panic if self-tests fail
      * go#75537 context: Err can return non-nil before Done channel is closed
      * go#75539 net/http: internal error: connCount underflow
      * go#75595 cmd/compile: internal compiler error with GOEXPERIMENT=cgocheck2 on github.com/leodido/go-urn
      * go#75610 sync/atomic: comment for Uintptr.Or incorrectly describes return value
      * go#75669 runtime: debug.decoratemappings don't work as expected

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:3682-1 advisory.

    go1.24.9 (released 2025-10-13) includes fixes to the crypto/x509     package. (bsc#1236217)

    * crypto/x509: TLS validation fails for FQDNs with trailing dot

    go1.24.8 (released 2025-10-07) includes security fixes to the     archive/tar, crypto/tls, crypto/x509, encoding/asn1,     encoding/pem, net/http, net/mail, net/textproto, and net/url     packages, as well as bug fixes to the compiler, the linker, and     the debug/pe, net/http, os, and sync/atomic packages.
    (bsc#1236217)

      CVE-2025-58189 CVE-2025-61725 CVE-2025-58188 CVE-2025-58185 CVE-2025-58186 CVE-2025-61723 CVE-2025-58183     CVE-2025-47912 CVE-2025-58187 CVE-2025-61724:

      * bsc#1251255 CVE-2025-58189: crypto/tls: ALPN negotiation error contains attacker controlled     information
      * bsc#1251253 CVE-2025-61725: net/mail: excessive CPU consumption in ParseAddress
      * bsc#1251260 CVE-2025-58188: crypto/x509: panic when validating certificates with DSA public keys
      * bsc#1251258 CVE-2025-58185: encoding/asn1: pre-allocating memory when parsing DER payload can cause     memory exhaustion
      * bsc#1251259 CVE-2025-58186: net/http: lack of limit when parsing cookies can cause memory exhaustion
      * bsc#1251256 CVE-2025-61723: encoding/pem: quadratic complexity when parsing some invalid inputs
      * bsc#1251261 CVE-2025-58183: archive/tar: unbounded allocation when parsing GNU sparse map
      * bsc#1251257 CVE-2025-47912: net/url: insufficient validation of bracketed IPv6 hostnames
      * bsc#1251254 CVE-2025-58187: crypto/x509: quadratic complexity when checking name constraints
      * bsc#1251262 CVE-2025-61724: net/textproto: excessive CPU consumption in Reader.ReadResponse
      * os: Root.OpenRoot sets incorrect name, losing prefix of original root
      * debug/pe: pe.Open fails on object files produced by llvm-mingw 21
      * cmd/link: panic on riscv64 with CGO enabled due to empty container symbol
      * net: new test TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion fails on plan9
      * os: new test TestOpenFileCreateExclDanglingSymlink fails on Plan 9
      * crypto/internal/fips140/rsa: requires a panic if self-tests fail
      * net/http: internal error: connCount underflow
      * cmd/compile: internal compiler error with GOEXPERIMENT=cgocheck2 on github.com/leodido/go-urn
      * sync/atomic: comment for Uintptr.Or incorrectly describes return value

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Debian Linux - golang-1.15 - なし golang-1.19 - なし golang-1.23 - なし golang-1.24 - なし golang-1.25
    - なしCVE-2025-61723

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:03547-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.25.2 (2025 年 10 月 7 日リリース) には、archive/tar、crypto/tls、crypto/x509、encoding/asn1、encoding/pem、net/http、net/mail、net/textproto、および net に対するセキュリティ修正が含まれます。 /url パッケージ、ならびにコンパイラ、runtime、および context、debug/pe、net/http、os、および sync/atomic パッケージへのバグ修正。bsc#1244485

      CVE-2025-58189 CVE-2025-61725 CVE-2025-58188 CVE-2025-58185 CVE-2025-58186 CVE-2025-61723 CVE-2025-58183 CVE-2025-47912 CVE-2025-58187 CVE-2025-61724:

      * bsc#1251255 CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーには、攻撃者が制御する情報が含まれます
      * bsc#1251253 CVE-2025-61725net/mailParseAddress の過剰な CPU 消費
      * bsc#1251260 CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際のパニック
      * bsc#1251258 CVE-2025-58185encoding/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が発生する可能性があります
      * bsc#1251259 CVE-2025-58186net/httpクッキーを解析する際の制限がないために、メモリ枯渇が発生する可能性があります
      * bsc#1251256 CVE-2025-61723encoding/pem一部の無効な入力を解析する際の二次複雑性
      * bsc#1251261 CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当て
      * bsc#1251257 CVE-2025-47912net/url括弧付き IPv6 ホスト名の不十分な検証
      * bsc#1251254 CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性
      * bsc#1251262 CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費

      * go#75111 os、syscallReadAt を呼び出す際に、FILE_FLAG_OVERLAPPED を伴うボリューム処理が失敗します
      * go#75116 os同じパスで同時に呼び出された場合、Root.MkdirAll は「file uses」を返す可能性があります
      * go#75139 osRoot.OpenRoot が不適切な名前を設定し、元のルートのプレフィックスを失っています
      * go#75221 debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * go#75255 cmd/compileインターフェイス経由でのみ参照される DWARF タイプにエクスポートします
      * go#75347 tests/synctest実行可能な goroutines がないテストタイムアウト
      * go#75357 net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * go#75524 crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * go#75537 コンテキストDone チャネルが閉じられる前に、Err が非 nil を返す可能性があります
      * go#75539 net/http内部エラーconnCount アンダーフロー
      * go#75595 cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * go#75610 sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています
      * go#75669 runtimedebug.decoratemappings が期待通りに機能しません

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:3682-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.24.9 (2025 年 10 月 13 日リリース) には、crypto/x509 パッケージへの修正が含まれています。bsc#1236217

    * crypto/x509末尾のドットを持つ FQDN で TLS 検証が失敗する

    go1.24.82025 年 10 月 7 日リリースには、archive/tar、crypto/tls、crypto/x509、encoding/asn1、encoding/pem、net/http、net/mail、net/textproto、および net に対するセキュリティ修正が含まれます。 /url パッケージ、ならびにコンパイラ、リンカ、および debug/pe、net/http、os、および sync/atomic パッケージへのバグ修正。
    (bsc#1236217)

      CVE-2025-58189 CVE-2025-61725 CVE-2025-58188 CVE-2025-58185 CVE-2025-58186 CVE-2025-61723 CVE-2025-58183 CVE-2025-47912 CVE-2025-58187 CVE-2025-61724:

      * bsc#1251255 CVE-2025-58189crypto/tlsALPN ネゴシエーションエラーには、攻撃者が制御する情報が含まれます
      * bsc#1251253 CVE-2025-61725net/mailParseAddress の過剰な CPU 消費
      * bsc#1251260 CVE-2025-58188crypto/x509DSA 公開鍵で証明書を検証する際のパニック
      * bsc#1251258 CVE-2025-58185encoding/asn1DER ペイロードを解析する際にメモリを事前に割り当てると、メモリ枯渇が発生する可能性があります
      * bsc#1251259 CVE-2025-58186net/httpクッキーを解析する際の制限がないために、メモリ枯渇が発生する可能性があります
      * bsc#1251256 CVE-2025-61723encoding/pem一部の無効な入力を解析する際の二次複雑性
      * bsc#1251261 CVE-2025-58183archive/tarGNU スパースマップを解析する際の際限のない割り当て
      * bsc#1251257 CVE-2025-47912net/url括弧付き IPv6 ホスト名の不十分な検証
      * bsc#1251254 CVE-2025-58187crypto/x509名前制約をチェックする際の二次複雑性
      * bsc#1251262 CVE-2025-61724net/textprotoReader.ReadResponse の過剰な CPU 消費
      * osRoot.OpenRoot が不適切な名前を設定し、元の root のプレフィックスを失っています
      * debug/pellvm-mingw 21 によって作成されたオブジェクトファイルで pe.Open が失敗します
      * cmd/link空のコンテナシンボルのため、CGO を有効にした riscv64 でのパニック
      * net新しいテスト TestIPv4WriteMsgUDPAddrPortTargetAddrIPVersion が Plan9 で失敗します
      * os新しいテスト TestOpenFileCreateExclDanglingSymlink が Plan 9 で失敗します
      * crypto/internal/fips140/rsaセルフテストが失敗した場合、パニックが必要です
      * net/http内部エラーconnCount アンダーフロー
      * cmd/compilegithub.com/leodido/go-urn 上の GOEXPERIMENT=cgocheck2 にある内部コンパイラエラー
      * sync/atomicUintptr.Or のコメントが戻り値を不適切に説明しています

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
271201	Golang 1.24.x < 1.24.8 / 1.25.x < 1.25.2 複数の脆弱性qZN5nc-mBgAJ	Nessus	Misc.	10/22/2025	10/24/2025	high
270214	Linux Distros 未修补的漏洞：CVE-2025-61723	Nessus	Misc.	10/13/2025	10/13/2025	critical
271201	Golang 1.24.x < 1.24.8 / 1.25.x < 1.25.2 多种漏洞 (qZN5nc-mBgAJ)	Nessus	Misc.	10/22/2025	10/24/2025	high
270214	Linux Distros 未修補的弱點：CVE-2025-61723	Nessus	Misc.	10/13/2025	10/13/2025	critical
271201	Golang 1.24.x < 1.24.8 / 1.25.x < 1.25.2 Multiple Vulnerabilities (qZN5nc-mBgAJ)	Nessus	Misc.	10/22/2025	10/24/2025	high
271201	Golang 1.24.x < 1.24.8 / 1.25.x < 1.25.2 多個弱點 (qZN5nc-mBgAJ)	Nessus	Misc.	10/22/2025	10/24/2025	high
270214	Linux Distros Unpatched Vulnerability : CVE-2025-61723	Nessus	Misc.	10/13/2025	10/13/2025	critical
270294	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : go1.25 (SUSE-SU-2025:03547-1)	Nessus	SuSE Local Security Checks	10/14/2025	10/24/2025	high
270849	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : go1.24 (SUSE-SU-2025:3682-1)	Nessus	SuSE Local Security Checks	10/21/2025	10/21/2025	high
270214	Linux Distros のパッチ未適用の脆弱性: CVE-2025-61723	Nessus	Misc.	10/13/2025	10/13/2025	critical
270294	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新go1.25SUSE-SU-2025:03547-1	Nessus	SuSE Local Security Checks	10/14/2025	10/24/2025	high
270849	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新: go1.24 (SUSE-SU-2025:3682-1)	Nessus	SuSE Local Security Checks	10/21/2025	10/21/2025	high

Detections

Analytics

Plugins Search

high

critical

high

critical

high

high

critical

high

high

critical

high

high