Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前，恶意 GOPROXY 能够伪造最多两个 sumdb 磁贴，允许请求的模块绕过 GOSUMDB 检查并将攻击者控制的模块内容保存到本地 Go 模块缓存。此攻击允许恶意 GOPROXY 提供无法通过评估透明度日志检测到的恶意模块内容。现在可针对其父级正确验证所有磁贴。
    为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上运行的 Golang 版本为低于 1.25.13 的 1.25.x 版，或低于 1.26.6 的 1.26.x 版。因此，它受到 golang-announce 公告中提及标准库和工具链中的多个漏洞影响。

  - ToASCII 和 ToUnicode 函数未正确接受解码为仅 ASCII 标签的 Punycode 编码标签。这可导致使用 idna 程序包的程序中的权限升级。
    (CVE-2026-39821)

  - 当服务器配置为支持未加密的 HTTP/2 时，服务器会从每个新连接读取字节以检查 HTTP/2 客户端前言。以前这是在不超时的情况下完成的。现在已将 ReadHeaderTimeout 用于此检查。（CVE-2026-56853）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-8935-1 公告中提及的多个漏洞影响。

    已发现在解析嵌套过深的 ASN.1 结构时，Go 未强制使用最大递归深度。攻击者可能利用此问题造成 Go 崩溃，从而导致拒绝服务。（CVE-2026-33818）

    发现 Go 在解码 XML 元素时，未能正确重置深度计数器。攻击者可能利用此问题，通过深度嵌套的 XML 输入造成 Go 崩溃，从而导致拒绝服务。（CVE-2026-56859）

    发现 Go 在握手完成后未正确处理 TLS KeyUpdate 消息。远程攻击者可利用此问题造成 Go 消耗过多资源，从而导致拒绝服务。（CVE-2026-56862）

    已发现 Go 未针对其父级正确验证校验和数据库磁贴。控制恶意模块代理的攻击者可能会利用此问题绕过校验和数据库验证并提供恶意模块内容。（CVE-2026-56865）

    Go HTTP 客户端中发现，在包含请求正文的 HTTP/1 CONNECT 请求遭到拒绝后，会错误地返回到空闲池的连接。远程攻击者可能利用此问题执行针对反向代理的 HTTP 响应中毒攻击。（CVE-2026-56866）

    Go HTTP/2 服务器中发现未对 Trailer 标头应用标头限制。远程攻击者可利用此问题造成 Go 消耗过多资源，从而导致拒绝服务。（CVE-2026-78659）

    Go HTTP/2 实现中发现，在转发响应时，未删除畸形的帧相关标头。远程攻击者可能利用此问题，在 Go 充当反向代理时执行 HTTP 响应走私攻击。（CVE-2026-78660）

    Go HTTP/2 服务器中发现，在某些情况下，相同数据会两次退还连接层级的流控制。远程攻击者可能利用此问题绕过配置的连接级别流控制限制。（CVE-2026-78663）

    据发现，Go 在通过 HTTP 提供内容时，未限制所解析的 Range 标头大小。远程攻击者可利用此问题造成 Go 消耗过多资源，从而导致拒绝服务。（CVE-2026-78667）

    Go HTTP/2 实现中发现未正确处理会更改初始窗口大小的 SETTINGS 帧。远程攻击者可利用此问题造成 Go 消耗过多资源，从而导致拒绝服务。（CVE-2026-78669）

    Go HTTP 服务器中发现，成功响应 HTTP/1 CONNECT 请求之后，会继续为连接上的请求提供服务。远程攻击者可能利用此问题执行 HTTP 请求走私攻击。(CVE-2026-94439)

    已发现 Go 在解析多部分表单时未对部分的第一行强制实施内存限制。远程攻击者可利用此问题造成 Go 消耗过多资源，从而导致拒绝服务。（CVE-2026-94440）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 golang 版本低于 1.26.7-1。因此，该软件受到 ALAS2-2026-3893 公告中提及的多个漏洞影响。

    在解封中强制执行递归限制，以防止解析嵌套过深的递归结构时出现堆栈耗尽。（CVE-2026-33818）

    当服务器配置为支持未加密的 HTTP/2 时，服务器会从每个新连接读取几个字节，查看其是否包含 HTTP/2 客户端前言。执行此操作时，意外地未应用 ReadHeaderTimeout。（CVE-2026-56853）

    以前，病态的输入可以提早关闭未转义的“/”，从而允许攻击控制的数据注入任意内容，从而可能导致 XSS。（CVE-2026-56858）

    以前，DecodeElement 会重置深度计数器，使其永远不会触发;这可导致堆栈耗尽。（CVE-2026-56859）

    以前，解析包含父目录（“..”）段的相对路径会在每个步骤中执行字符串转换和缓冲区重写，从而导致二次方时间复杂度和高内存分配开销。现在，路径解析在字节缓冲区上运行，对“..”段使用基于索引的回溯，从而消除了二次时间复杂性并显著减少了内存分配。
    (CVE-2026-56860)

    无论握手是否已完成，如 KeyUpdate 的握手消息始终被视为状态前进。因此，恶意客户端可不断发送 KeyUpdate 消息，以强制服务器无限期地继续执行密钥派生操作。（CVE-2026-56862）

    恶意 GOSUMDB 能够提供透明度日志中未包含的任意模块内容。此攻击允许协调的 GOPROXY 和 GOSUMDB 为客户端提供无法通过评估透明度日志检测到的恶意模块内容。为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56864）

    恶意 GOPROXY 之前能够伪造最多两个 sumdb 磁贴，允许请求的模块绕过 GOSUMDB 检查并将攻击者控制的模块内容保存到本地 Go 模块缓存。此攻击允许恶意 GOPROXY 提供无法通过评估透明度日志检测到的恶意模块内容。现在可针对其父级正确验证所有磁贴。
    为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-2114 公告中提及的多个漏洞影响。

    在解封中强制执行递归限制，以防止解析嵌套过深的递归结构时出现堆栈耗尽。（CVE-2026-33818）

    当服务器配置为支持未加密的 HTTP/2 时，服务器会从每个新连接读取几个字节，查看其是否包含 HTTP/2 客户端前言。执行此操作时，意外地未应用 ReadHeaderTimeout。（CVE-2026-56853）

    以前，病态的输入可以提早关闭未转义的“/”，从而允许攻击控制的数据注入任意内容，从而可能导致 XSS。（CVE-2026-56858）

    以前，DecodeElement 会重置深度计数器，使其永远不会触发;这可导致堆栈耗尽。（CVE-2026-56859）

    以前，解析包含父目录（“..”）段的相对路径会在每个步骤中执行字符串转换和缓冲区重写，从而导致二次方时间复杂度和高内存分配开销。现在，路径解析在字节缓冲区上运行，对“..”段使用基于索引的回溯，从而消除了二次时间复杂性并显著减少了内存分配。
    (CVE-2026-56860)

    无论握手是否已完成，如 KeyUpdate 的握手消息始终被视为状态前进。因此，恶意客户端可不断发送 KeyUpdate 消息，以强制服务器无限期地继续执行密钥派生操作。（CVE-2026-56862）

    恶意 GOSUMDB 能够提供透明度日志中未包含的任意模块内容。此攻击允许协调的 GOPROXY 和 GOSUMDB 为客户端提供无法通过评估透明度日志检测到的恶意模块内容。为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56864）

    恶意 GOPROXY 之前能够伪造最多两个 sumdb 磁贴，允许请求的模块绕过 GOSUMDB 检查并将攻击者控制的模块内容保存到本地 Go 模块缓存。此攻击允许恶意 GOPROXY 提供无法通过评估透明度日志检测到的恶意模块内容。现在可针对其父级正确验证所有磁贴。
    为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
335371	Linux Distros 未修补的漏洞：CVE-2026-56865	Nessus	Misc.	2026/8/14	2026/10/19	high
335411	Golang 1.25.x < 1.25.13 / 1.26.x < 1.26.6 多个漏洞	Nessus	Misc.	2026/8/14	2026/8/28	high
367749	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：Go 漏洞 (USN-8935-1)	Nessus	Ubuntu Local Security Checks	2026/10/20	2026/10/20	critical
341867	Amazon Linux 2：golang、--advisory ALAS2-2026-3893 (ALAS-2026-3893)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/8/31	high
341840	Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2026-2114)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/8/31	high

检测

插件搜索

high

high

critical

high

high