Все бюллетени/sisyphus/ALT-PU-2026-15490-1
ALT-PU-2026-15490-1

Обновление пакета prometheus-podman-exporter в ветке sisyphus

Версия2.0.0-alt1
Задание#432956
Опубликовано2026-09-14
Макс. серьёзностьCRITICAL
Серьёзность:

Закрытые проблемы (15)

BDU:2025-14682
MEDIUM5.3

Уязвимость сервера агента ssh-agent библиотеки для языка программирования Go crypto, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2025-11-25Изменено: 2026-04-14
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
CVSS 2.0СРЕДНЯЯ 5.0
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:P
Ссылки
BDU:2026-11948
CRITICAL9.1

Уязвимость функции Verify() языка программирования Go, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-08-18
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS 2.0КРИТИЧЕСКАЯ 9.4
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:N
Ссылки
BDU:2026-11950
CRITICAL9.1

Уязвимость функции NewKeyring() языка программирования Go, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-08-18
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS 2.0КРИТИЧЕСКАЯ 9.4
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:N
Ссылки
CVE-2025-47914
MEDIUM5.3

SSH Agent servers do not validate the size of messages when processing new identity requests, which may cause the program to panic if the message is malformed due to an out of bounds read.

Опубликовано: 2025-11-19Изменено: 2026-06-17
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Ссылки
CVE-2026-17106
HIGH7.1

The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor decides where each archive entry lands using lexical string checks and then performs the filesystem operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of the destination directory. An attacker who controls the contents of an archive can create or overwrite files at arbitrary paths writable by the extracting process.

Опубликовано: 2026-08-18Изменено: 2026-08-28
CVSS 4.0ВЫСОКАЯ 7.1
CVSS:4.0/CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Ссылки
CVE-2026-39831
CRITICAL9.1

The Verify() method for FIDO/U2F security key types (sk-ecdsa-sha2-nistp256@openssh.com, sk-ssh-ed25519@openssh.com) did not check the User Presence flag. Signatures generated without physical touch were accepted, allowing unattended use of a hardware security key. To restore the previous behavior, return a "no-touch-required" extension in Permissions.Extensions from PublicKeyCallback.

Опубликовано: 2026-05-22Изменено: 2026-07-23
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-39833
CRITICAL9.1

The in-memory keyring returned by NewKeyring() silently accepted keys with the ConfirmBeforeUse constraint but never enforced it. The key would sign without any confirmation prompt, with no indication to the caller that the constraint was not in effect. NewKeyring() now returns an error when unsupported constraints are requested.

Опубликовано: 2026-05-22Изменено: 2026-08-11
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-41178
MEDIUM5.3

OpenTelemetry-Go is the Go implementation of OpenTelemetry. Versions 1.41.0 and 1.43.0 removed raw-length rejection and it causes `Parse` to process arbitrarily large/invalid baggage headers and log errors, enabling DoS via oversized inputs. Versions 1.42.0 and 1.44.0 fix the issue.

Опубликовано: 2026-06-04Изменено: 2026-07-22
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Ссылки
GHSA-5wrp-cwcj-q835
MEDIUM5.3

opentelemetry-go's baggage parsing no longer caps raw header length

Опубликовано: 2026-05-28Изменено: 2026-06-09
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Ссылки
GHSA-89gr-r52h-f8rx
CRITICAL9.1

golang.org/x/crypto: FIDO/U2F security key physical presence check can be bypassed

Опубликовано: 2026-06-25Изменено: 2026-07-07
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
GHSA-f6x5-jh6r-wrfv
MEDIUM5.3

golang.org/x/crypto/ssh/agent vulnerable to panic if message is malformed due to out of bounds read

Опубликовано: 2025-11-19Изменено: 2025-11-20
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Ссылки
GHSA-hfg8-hc9c-6c3h
HIGH7.1

moby/go-archive: Crafted tar archive can write outside the extraction directory

Опубликовано: 2026-08-18
CVSS 4.0ВЫСОКАЯ 7.1
CVSS:4.0/CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Ссылки
GHSA-jppx-rxg9-jmrx
CRITICAL9.1

golang.org/x/crypto doesn't enforce invoking key constraints

Опубликовано: 2026-06-25Изменено: 2026-07-07
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
GHSA-q4h4-gmj2-qvw2
HIGH7.5

golang.org/x/crypto: Invoking byte arithmetic causes underflow and panic

Опубликовано: 2026-06-25Изменено: 2026-07-07
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки