Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 多个漏洞

critical Nessus 插件 ID 366456

语言：

简介

远程主机上安装的应用程序受到多个漏洞的影响。

描述

远程主机上运行的 Golang 版本为低于 1.26.9 的 1.26.x 版，或低于 1.27.2 的 1.27.x 版。因此，如 golang-announce 公告所述，会受到标准库和工具链中多个漏洞的影响，包括：

- 在 Windows 中，当 Root.Mkdir 或 Root.MkdirAll 的目标是指向空白位置的交汇点时，即使该目标位于根之外，操作也可以在交汇点目标处创建目录。这仅适用于最后一个路径组件是交汇点（路径/到/交汇点，但不包括路径/交汇点/目标）的操作。（CVE-2026-56857）

- HTTP/2 服务器可以针对相同的数据退还两次连接级别的流控制：一次是在客户端重置流时（为流的任何已发送但未读部分退还数据），另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接层级流控制限制（MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。（CVE-2026-78663）

- 当 http.传输发送包含非空 Request.Body 的 HTTP/1 CONNECT 请求，它会将正文直接写入连接，而不在请求标头之后进行帧处理。如果服务器拒绝具有非 2xx 保持活动响应的 CONNECT 请求，传输将返回到空闲池的连接。由于 CONNECT 请求没有请求正文，服务器可能会将尾部正文字节解释为连接上的后续管道 HTTP/1.1 请求，从而使池连接不同步并导致重用它的下一个调用方读取对注入请求的响应。在反向代理（包括 httputil.ReverseProxy）通过共享传输转发 CONNECT 请求，这可导致跨用户响应毒化。（CVE-2026-56866）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。