Все бюллетени/sisyphus/ALT-PU-2026-8699-6
ALT-PU-2026-8699-6

Обновление пакета portainer в ветке sisyphus

Версия2.39.3-alt1
Задание#420079
Опубликовано2026-08-06
Макс. серьёзностьCRITICAL
Серьёзность:

Закрытые проблемы (29)

BDU:2026-04597
HIGH7.5

Уязвимость библиотеки net/http2 языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-04-02Изменено: 2026-07-23
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-08587
HIGH7.5

Уязвимость реализации протокола HTTP/2 языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-06-22Изменено: 2026-08-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-10777
HIGH7.4

Уязвимость платформы управления контейнерами Portainer, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-07-30
CVSS 3.xВЫСОКАЯ 7.4
CVSS:3.x/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:N/A:N
Ссылки
BDU:2026-10814
HIGH7.1

Уязвимость платформы управления контейнерами Portainer, связанная с неправильной реализацией алгоритма аутентификации, позволяющая нарушителю обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-07-30
CVSS 3.xВЫСОКАЯ 7.1
CVSS:3.x/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L
CVSS 2.0СРЕДНЯЯ 6.8
CVSS:2.0/AV:N/AC:H/Au:S/C:C/I:C/A:P
Ссылки
BDU:2026-11021
LOW2.8

Уязвимость библиотеки go-git, связанная с непроверенным индексированием массива, позволяющая нарушителю оказать воздействие на доступность защищаемой информации

Опубликовано: 2026-08-04
CVSS 3.xНИЗКАЯ 2.8
CVSS:3.x/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L
CVSS 2.0НИЗКАЯ 1.7
CVSS:2.0/AV:L/AC:L/Au:S/C:N/I:N/A:P
Ссылки
BDU:2026-11028
MEDIUM5.0

Уязвимость библиотеки go-git, связанная с целочисленной потерей значимости, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-08-04
CVSS 3.xСРЕДНЯЯ 5.0
CVSS:3.x/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H
CVSS 2.0СРЕДНЯЯ 4.6
CVSS:2.0/AV:L/AC:L/Au:S/C:N/I:N/A:C
Ссылки
CVE-2026-33762
LOW2.8

go-git is an extensible git implementation library written in pure Go. Prior to version 5.17.1, go-git’s index decoder for format version 4 fails to validate the path name prefix length before applying it to the previously decoded path name. A maliciously crafted index file can trigger an out-of-bounds slice operation, resulting in a runtime panic during normal index parsing. This issue only affects Git index format version 4. Earlier formats (go-git supports only v2 and v3) are not vulnerable to this issue. This issue has been patched in version 5.17.1.

Опубликовано: 2026-03-31Изменено: 2026-07-24
CVSS 3.xНИЗКАЯ 2.8
CVSS:3.x/CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L
Ссылки
CVE-2026-33814
HIGH7.5

When processing HTTP/2 SETTINGS frames, transport will enter an infinite loop of writing CONTINUATION frames if it receives a SETTINGS_MAX_FRAME_SIZE with a value of 0.

Опубликовано: 2026-05-07Изменено: 2026-08-11
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки
CVE-2026-34165
MEDIUM5.0

go-git is an extensible git implementation library written in pure Go. From version 5.0.0 to before version 5.17.1, a vulnerability has been identified in which a maliciously crafted .idx file can cause asymmetric memory consumption, potentially exhausting available memory and resulting in a denial-of-service (DoS) condition. Exploitation requires write access to the local repository's .git directory, it order to create or alter existing .idx files. This issue has been patched in version 5.17.1.

Опубликовано: 2026-03-31Изменено: 2026-07-24
CVSS 3.xСРЕДНЯЯ 5.0
CVSS:3.x/CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H
Ссылки
CVE-2026-39830
CRITICAL9.1

A malicious SSH peer could send unsolicited global request responses to fill an internal buffer, blocking the connection's read loop. The blocked goroutine could not be released by calling Close(), resulting in a resource leak per connection. Unsolicited global responses are now discarded.

Опубликовано: 2026-05-22Изменено: 2026-08-12
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
Ссылки
CVE-2026-39831
CRITICAL9.1

The Verify() method for FIDO/U2F security key types (sk-ecdsa-sha2-nistp256@openssh.com, sk-ssh-ed25519@openssh.com) did not check the User Presence flag. Signatures generated without physical touch were accepted, allowing unattended use of a hardware security key. To restore the previous behavior, return a "no-touch-required" extension in Permissions.Extensions from PublicKeyCallback.

Опубликовано: 2026-05-22Изменено: 2026-07-23
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-39832
CRITICAL9.1

When adding a key to a remote agent constraint extensions such as restrict-destination-v00@openssh.com were not serialized in the request. Destination restrictions were silently stripped when forwarding keys, allowing unrestricted use of the key on the remote host. The client now serializes all constraint extensions. Additionally, the in-memory keyring returned by NewKeyring() now rejects keys with unsupported constraint extensions instead of silently ignoring them.

Опубликовано: 2026-05-22Изменено: 2026-08-12
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-39833
CRITICAL9.1

The in-memory keyring returned by NewKeyring() silently accepted keys with the ConfirmBeforeUse constraint but never enforced it. The key would sign without any confirmation prompt, with no indication to the caller that the constraint was not in effect. NewKeyring() now returns an error when unsupported constraints are requested.

Опубликовано: 2026-05-22Изменено: 2026-08-11
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-39834
CRITICAL9.1

When writing data larger than 4GB in a single Write call on an SSH channel, an integer overflow in the internal payload size calculation caused the write loop to spin indefinitely, sending empty packets without making progress. The size comparison now uses int64 to prevent truncation.

Опубликовано: 2026-05-22Изменено: 2026-07-23
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Ссылки
CVE-2026-41506
HIGH7.4

go-git is an extensible git implementation library written in pure Go. Prior to versions 5.18.0 and 6.0.0-alpha.2, go-git may leak HTTP authentication credentials when following redirects during smart-HTTP clone and fetch operations. This issue has been patched in versions 5.18.0 and 6.0.0-alpha.2.

Опубликовано: 2026-05-08Изменено: 2026-06-17
CVSS 3.xВЫСОКАЯ 7.4
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
Ссылки
CVE-2026-42508
CRITICAL9.1

Previously, a revoked 'SignatureKey' belonging to a CA was not correctly checked for revocation. Now, both the 'key' and 'key.SignatureKey' are checked for @revoked.

Опубликовано: 2026-05-22Изменено: 2026-08-12
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-46595
CRITICAL10.0

Previously, CVE-2024-45337 fixed an authorization bypass for misused ssh server configurations; if any other type of callback is passed other than public key, then the source-address validation would be skipped.

Опубликовано: 2026-05-22Изменено: 2026-08-12
CVSS 3.xКРИТИЧЕСКАЯ 10.0
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
Ссылки
GHSA-3xc5-wrhm-f963
MEDIUM4.7

go-git: Credential leak via cross-host redirect in smart HTTP transport

Опубликовано: 2026-04-17Изменено: 2026-05-12
CVSS 3.xСРЕДНЯЯ 4.7
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N
Ссылки
GHSA-5cgq-3rg8-m6cv
CRITICAL9.1

golang.org/x/crypto vulnerable to auth bypass via unenforced @revoked status

Опубликовано: 2026-06-25Изменено: 2026-07-17
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
GHSA-89gr-r52h-f8rx
CRITICAL9.1

golang.org/x/crypto: FIDO/U2F security key physical presence check can be bypassed

Опубликовано: 2026-06-25Изменено: 2026-07-07
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
GHSA-f5wc-c3c7-36mc
CRITICAL9.1

golang.org/x/crypto doesn't drop invoking agent constraints when forwarding keys

Опубликовано: 2026-06-25Изменено: 2026-08-11
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
GHSA-jppx-rxg9-jmrx
CRITICAL9.1

golang.org/x/crypto doesn't enforce invoking key constraints

Опубликовано: 2026-06-25Изменено: 2026-07-07
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
GHSA-pmwq-pjrm-6p5r
MEDIUM4.1

in-toto-golang and in-toto-python have inconsistent negation behavior

Опубликовано: 2026-05-08
CVSS 3.xСРЕДНЯЯ 4.1
CVSS:3.x/CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:N
Ссылки
GHSA-rm3j-f69w-wqmq
CRITICAL9.1

golang.org/x/crypto vulnerable to infinite loop on large channel writes

Опубликовано: 2026-06-25Изменено: 2026-07-07
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Ссылки
GHSA-vgwf-h737-ff37
CRITICAL9.1

golang.org/x/crypto: Invoking client can cause server deadlock on unexpected responses

Опубликовано: 2026-06-25Изменено: 2026-08-13
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
Ссылки
GHSA-x527-x647-q7gg
CRITICAL10.0

golang.org/x/crypto: Invoking VerifiedPublicKeyCallback permissions skip enforcement

Опубликовано: 2026-06-25Изменено: 2026-07-17
CVSS 3.xКРИТИЧЕСКАЯ 10.0
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
Ссылки