buildah-1.43.1-2.el9_8
エラータID: AXSA:2026-1405:05
以下項目について対処しました。
[Security Fix]
- Golang の net/url.Parse ライブラリ関数には、無効な URL を
受け入れてしまう問題があるため、リモートの攻撃者により、サービス
拒否攻撃を可能とする脆弱性が存在します。(CVE-2026-25679)
- Golang の crypto/x509 ライブラリおよび crypto/tls ライブラリ
には、証明書チェーンの構築処理においてリソースの制限を実施して
いない問題があるため、リモートの攻撃者により、サービス拒否攻撃
(リソース枯渇) を可能とする脆弱性が存在します。(CVE-2026-32280)
- Golang の crypto/x509 には、ループ内で過剰にプラットフォーム
リソースを消費してしまう問題があるため、リモートの攻撃者により、
サービス拒否攻撃 (DoS) サービス拒否攻撃を可能とする脆弱性が存在
します。(CVE-2026-32281)
- Golang の crypto/tls パッケージには、TLS 1.3 のハンドシェイク後
の処理においてデッドロックに至る問題があるため、リモートの攻撃者
により、サービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2026-32283)
- container-tools の RSA および DSA 公開鍵のパーサーには、
鍵パラメーターサイズのチェック処理の欠落に起因して意図せず CPU
リソースを消費してしまう問題があるため、リモートの攻撃者により、
細工された公開鍵の処理を介して、サービス拒否攻撃 (CPU リソース
の枯渇) を可能とする脆弱性が存在します。(CVE-2026-39829)
- container-tools の SSH パッケージには、メモリ領域の解放処理
が欠落しているため、リモートの攻撃者により、一方的なグローバル
リクエスト応答となるように細工されたパケットの継続的な送信を
介して、サービス拒否攻撃 (メモリ枯渇) を可能とする脆弱性が存在
します。(CVE-2026-39830)
パッケージをアップデートしてください。
url.Parse insufficiently validated the host/authority component and accepted some invalid URLs.
During chain building, the amount of work that is done is not correctly limited when a large number of intermediate certificates are passed in VerifyOptions.Intermediates, which can lead to a denial of service. This affects both direct users of crypto/x509 and users of crypto/tls.
Validating certificate chains which use policies is unexpectedly inefficient when certificates in the chain contain a very large number of policy mappings, possibly causing denial of service. This only affects validation of otherwise trusted certificate chains, issued by a root CA in the VerifyOptions.Roots CertPool, or in the system certificate pool.
If one side of the TLS connection sends multiple key update messages post-handshake in a single record, the connection can deadlock, causing uncontrolled consumption of resources. This can lead to a denial of service. This only affects TLS 1.3.
The RSA and DSA public key parsers did not enforce size limits on key parameters. A crafted public key with an excessively large modulus or DSA parameter could cause several minutes of CPU consumption during signature verification. This could be triggered by unauthenticated clients during public key authentication. RSA moduli are now limited to 8192 bits, and DSA parameters are validated per FIPS 186-2.
A malicious SSH peer could send unsolicited global request responses to fill an internal buffer, blocking the connection's read loop. The blocked goroutine could not be released by calling Close(), resulting in a resource leak per connection. Unsolicited global responses are now discarded.
N/A
SRPMS
- buildah-1.43.1-2.el9_8.src.rpm
MD5: f73c8de23742f09504f7f8afef761588
SHA-256: bdeea7ddd0fe3c8f10cc3bba8b4b7acee0c3a839d8025e144ba73ce5fbbc9d9b
Size: 11.17 MB
Asianux Server 9 for x86_64
- buildah-1.43.1-2.el9_8.x86_64.rpm
MD5: 30f81a564b51ca65a0f552b62a2025d1
SHA-256: 67dd95f98398b3bfac13b1be62d5bc6ff99db877dd0a6c2a8cc25f7e077a74a0
Size: 10.62 MB - buildah-tests-1.43.1-2.el9_8.x86_64.rpm
MD5: 87b7d88cee48b9a6d85b6034e2f0f8cc
SHA-256: 559d4eacce67ce2a64cbf4a15adb2ecf9e75f84533d85773dbfef6bc779371b9
Size: 30.75 MB
English