ALSA-2026:62577 Important: go-fdo-client security update

概要:
AlmaLinuxはセキュリティアドバイザリ ALSA-2026:62577(重要度 Important)として、go-fdo-client の更新を公開しました。go-fdo-client は FIDO Device Onboard 仕様のデバイス側を Go で実装したもので、FDO の製造者サーバーおよび所有者サーバーと連携してデバイスのオンボーディングを行います。修正された脆弱性は以下の4件です。
・CVE-2026-33810: Go crypto/x509 で DNS 制約が誤って適用され、証明書検証を回避される問題
・CVE-2026-33818: Go encoding/asn1 の Unmarshal で過剰な再帰が起き、サービス拒否に至る問題
・CVE-2026-56860: Go net/url のパス解決が二次的な計算量となり、サービス拒否に至る問題
・CVE-2026-56862: Go crypto/tls で KeyUpdate メッセージが際限なく送られ、サービス拒否に至る問題

影響対象:
AlmaLinux 10 の go-fdo-client。影響を受ける具体的な版の範囲と、悪用が成立する条件は未確認です。

修正版:
go-fdo-client 0:1.0.0-4.el10_2.7(aarch64、x86_64、x86_64_v2)

回避策:
未確認です(原文に記載がありません)。

不明点:
各CVEのCVSSスコア、詳細な影響内容、謝辞などは原文に記載がなく、未確認です。原文はこれらについて、参考文献欄に掲載された各CVEページを参照するよう案内しています。