脆弱性まとめ 脆弱性概要 Go 1.26.2 および Go 1.25.9 がリリースされ、10件のセキュリティ修正が含まれています。主な修正対象は、RootChmod におけるシンボリックリンクのトランキング（巡回）、HTML/Template モジュールのテンプレートリテラル コンテキスト追跡、および crypto/x509 モジュールにおけるワイルドカードドメインの DNS 制約に関する問題です。 詳細な脆弱性情報 1. RootChmod シンボリックリンク トランキング脆弱性 (CVE-2026-23282) 説明: Linux システムにおいて、RootChmod の対象がシンボリックリンクに置き換えられた状態で 操作が実行されている場合、RootChmod は対象がルートディレクトリの外部にあっても、シンボリックリンクが指す先（ターゲット）を操作する可能性があります。 原因: Linux における システムコールは通常、 フラグを無視します。RootChmod は従来、このフラグを使用してシンボリックリンク トランキングを回避し、対象がルートディレクトリ内にあることを確認していましたが、確認後に対象がシンボリックリンクに置き換えられると、この問題が発生します。 修正: Linux 環境では、RootChmod は現在、利用可能な場合は システムコールを使用し、代替手段として を活用しています。 2. HTML/Template テンプレートリテラル コンテキスト追跡脆弱性 (CVE-2026-23289) 説明: JavaScript テンプレートリテラル内でのコンテキスト追跡が正しく行われていませんでした。 原因: JavaScript テンプレートリテラル内において、コンテキストが正しく追跡されなかったため、分岐処理内でテンプレートを使用した場合に不適切なコンテンツエスケープが生じる可能性があります。また、テンプレートリテラル内でのテンプレート操作における中括弧の深さ追跡が正しく行われず、不適切なエスケープが適用されていました。 影響: JavaScript テンプレートリテラル内の操作が誤って、または不適切にエスケープされる結果となり、XSS（クロスサイトスクリプティング）脆弱性につながる可能性があります。本脆弱性の影響を受けるのは、JavaScript テンプレートリテラル内でテンプレート操作を使用するテンプレートのみです。 修正: コンテキスト追跡および中括弧深さ追跡のロジックが修正されました。 3. crypto/x509 ワイルドカードドメイン DNS 制約脆弱性 説明: 除外 DNS 制約がワイルドカードドメインに正しく適用されていませんでした。 原因: 除外 DNS 制約を含む証明書チェーンを検証する際、これらの制約が大文字と小文字を区別しないワイルドカード DNS SAN（Subject Alternative Name）に正しく適用されていませんでした。例えば、証明書に DNS 名 が含まれており、除外 DNS 名が の場合、制約は適用されませんでした。 修正: ワイルドカードドメインに対する DNS 制約の適用ロジックが修正されました（大文字小文字の区別をしないように保証）。 修正方法 上記のセキュリティ修正を適用するため、Go 1.26.2 または Go 1.25.9 にアップグレードしてください。