SILO 20261025 统一维护版本公告（发布准备）
2026-10-25 状态：silo-pkg v3.15.1、mcli 20261025 与 Console v2.5.0 已发布；Server 20261025 为 Draft，统一维护批次仍未完成。 20261025 是由 SILO、mcli、SILO Console、silo-pkg 与 KES 共用的统一维护批次，集中交付 Go 1.27.3 工具链升级、依赖更新及相关安全修复。其余组件的具体版本号、Git 标签、提交哈希与制品摘要将在各自发布时填入；当前下载入口继续指向既有正式版本。
首个组件交付：silo-pkg v3.15.0，源码提交 717969b63fa7。该 Go 基础库将最低 Go 版本从 1.26 升至 1.27.3，相对 v3.14.3 更新 13 个依赖模块，并保留其策略优化与授权语义。正式提交的 Go、LDAP 和 VulnCheck CI 均通过；下游项目升级该模块版本后重新编译即可生效。
10 月 25 日追加发布 silo-pkg v3.15.1，源码提交 8893479a348a。minio-go 从 v7.4.1 更新至上游提交 ab93db7ba435（v7.4.2-0.20261020194015-ab93db7ba435），纳入 6 项修复：串行与并行分片短流、ReadAt 的 EOF 与负偏移、Stat 后的读取/定位边界，以及批量删除重复报错。上游尚未发布 v7.4.2 标签。Go 仍为 1.27.3，保留输出格式与 NetBSD 兼容性例外，本补丁未新增 CVE 修复。其他组件须采用该模块并重新构建后才获得这些 SDK 修复。
下文清单基于 2026-10-22 至 2026-10-23 对候选源码与构建环境的依赖、构建及安全公告核对，并纳入 10 月 24 日的 Go 依赖增量升级。系统包与前端安全条目的核对日期仍分别以下文标注为准；同一 CVE 跨多个组件出现时按同一漏洞归并记录。
升级范围
| 组件 | 本次维护内容 |
|---|---|
| silo-pkg | v3.15.1 已发布：Go 1.27.3、共享依赖更新、追加 6 项上游 minio-go 修复与输出兼容性 |
| mcli | 20261025 已发布：Go 1.27.3、silo-pkg v3.15.1、minio-go 修复、别名区域、JSON 错误退出码与 Windows ZIP 归档 |
| SILO Console | v2.5.0 已发布：Go 1.27.3、pkg v3.15.1、mcli 20261025、上游 SDK 修复、GUI 更新与诊断 WebSocket 修复；Node 24.22.1、Vite 8.3.5 |
| SILO | 20261025 Draft：正式 pkg/mcli/Console 源码、Go 1.27.3、管理接口与写入/回滚/清理修复、静态 curl 和信任库 |
| KES | Go 1.27.3、依赖验证、UBI 9.8 基础镜像及信任库维护 |
Server 20261025 Draft Release
Server 标签 RELEASE.2026-10-25T00-00-00Z 当前为 Draft Release，包版本为 20261025000000.0.0。它采用已正式发布的 silo-pkg v3.15.1、mcli 20261025（dcc78d506f94）、Console v2.5.0（989fa7150792）源码，以及已验证的上游 minio-go 提交 ab93db7ba435。公开 Server 下载与 Docker 镜像仍保持 20261018，本次草稿不会推进 latest。
最终依赖复查覆盖 Server 的 280 项显式 Go 依赖声明，没有需要额外纳入的兼容正式更新。保留格式输出、终端字符宽度、NetBSD 和 no-op 插桩相关例外。MC 与 Console 标签之后的 main 提交仅更新发行文档，因此 Server 使用正式标签源码。Go 漏洞扫描没有命中受影响的导入包或可调用漏洞；GO-2026-5932 仍是模块级 OpenPGP 告警，Server 不导入受影响包，上游也没有修复版本。
草稿包含下文的 IAM Reset 与实时存储桶列表修复，也保留了可独立验证的写入、回滚和清理修复：已接纳的存储变更完成后才释放本地保护或清理暂存数据；回滚校验所有权，只恢复自己覆盖的版本，保留之后的写入与元数据修改；废弃数据清理保留提交或回滚仍需使用的备份；PUT 时间戳在提交锁内生成。继续采用原有读取仲裁与 healing 策略，包括部分覆盖失败后原数据仍可读取的行为。
Server 同时将 IAM 策略重载与认证缓存锁隔离，并传递 KMS 请求取消。多池删除在清理失败时保留权威副本，保护仍被引用的远端分层数据；生命周期过期若只创建删除标记，就保留远端数据，包括已暂停版本控制桶中的非 null 版本。分片复制转发 FULL_OBJECT 校验和类型。感谢 @botdeniska 提供生命周期、复制和多池删除修复。Windows 归档改为 ZIP。
发布前验证： 源码 263ee0510da5 在打标签前已通过 Go CI、VulnCheck 和 Test Release Pipeline。本地 Go 全量测试有 8,658 项测试及子测试通过、72 项跳过，另有 204 项定向 race 检查通过。真实 Server 搭配正式 Console 和 mcli 验证了完整健康报告、内置策略 Reset 后立即读取，以及启用版本控制的 S3 上传、标签、下载完整性和删除。Windows 归档已交叉编译并检查结构，本轮本地验收不包含 Windows 原生执行。
仍存的存储限制： 租约失效或网络分区后仍可能出现延迟提交，部分元数据更新仍可能读到旧值或旧标签；分裂对象代际及不可用池继续采用原有读取行为。本版没有增加分布式 fencing，不会修复已存在的不一致对象，也不代表历史不匹配已经恢复。更严格的拒读和额外跨池恢复机制继续延期，失败诊断保留在 consistency_strict 构建标签下，不计入通过结果。等待已接纳 I/O 会延长故障磁盘上的同对象写入或清理等待；清理中断可能留下占用空间的回滚备份。依赖新回滚所有权检查前，应升级所有写入节点。
Console v2.5.0 正式发布
Console v2.5.0 已正式发布，源码为 989fa7150792。本版采用已发布的 silo-pkg v3.15.1 和 mcli 20261025；MC replacement 为 v0.0.0-20261025104502-dcc78d506f94，对应正式标签 RELEASE.2026-10-25T00-00-00Z。minio-go 采用上述上游 ab93db7ba435 提交，Go 保持 1.27.3。
相对 v2.4.2，本版交付权限感知导航、Overview、可排序和过滤的存储桶表格、文本／Markdown／CSV 预览、任务中心、身份与策略管理更新，以及响应式明暗界面。策略 Reset 需要配套 Server 的 IAM 缓存修复；任务取消不会撤销已经完成的变更。完整变更见 Console CHANGELOG。
Reset 必须配套更新 Server： 已发布的 Server 20261018 在重置被覆盖的内置策略后，首次读取策略可能返回 HTTP 500。Server 源码修复已与 Console 2.5.0 通过立即读回默认策略的回归，但该修复尚未进入上述 Server 正式版本。此功能须与 Server 修复一起交付；单独更新 Console 无法修复旧 Server 的策略缓存。
#63 报告高延迟网络下健康报告被截断、浏览器收到 WebSocket 1006。本版修复 Health、Trace、Logs、Watch、Speedtest、Profile 共六类诊断：通过现有唯一读取协程等待客户端 Close，发送 Close 与等待响应共用最多五秒预算，活动中的诊断流不受该预算限制。感谢 Azat（@azataiot） 提供复现信息和原因分析；该 issue 已在源码修复和回归验证后关闭，修复已包含在 v2.5.0。
真实服务端联调还复现了另一个健康报告问题：madmin v3 的版本解码器可能读入并丢弃下一帧报告的开头，导致 WebSocket 1011。上游修复 已进入 v4，但尚未回补 v3 分支。Console 保留 v3 API，使用其签名请求方法，以同一个解码器读取完整数据流；正确关闭响应体，并拒绝截断、取消和报错响应，避免将部分报告当成成功结果。
10 月 25 日在当前主版本范围内复查 Console 的 185 项显式 Go 依赖声明：除采用上述维护组件与 SDK 外，没有需要追加升级的兼容正式版本。保留 tablewriter 0.0.5、humanize 1.0.1、runewidth 0.0.29 和 go-systemd 22.6.0 兼容性例外。madmin v4 的 API 迁移需另行评估，上述健康报告修复不依赖该迁移。mcli 标签之后的 main 仅更新发行文档，Console 使用正式标签对应源码。这些健康报告变更属于正确性修复，不新增 CVE 修复项；下文安全清单继续按各自核对日期解释。
Server 20261025 草稿采用 pkg v3.15.1、mcli 20261025 和 Console v2.5.0 的正式源码。两个真实 Server 进程分别使用对象存储 IAM 和 etcd 后端，已验证内置策略覆盖、使用中禁止重置、双节点重置后立即读取、延迟通知、自定义策略删除及重启后的持久化；两个节点内嵌 Console 的 Reset 操作和完整健康报告下载也通过。此项修复不改变对象读取仲裁与 healing 语义。
端到端测试还发现，成功创建或删除存储桶后，Server 的账户信息接口可能返回旧的存储桶列表缓存。候选修复让这个管理接口读取当前列表，代价是每次账户信息请求都执行实时列表读取；API 字段和权限过滤保持原样。固定旧缓存的创建/删除回归及重复浏览器创建/删除流程均已通过。Console 同时恢复了仅有写入权限的用户进入对象工作区的入口：允许上传，对象列举和读取仍分别校验权限。通配符策略对桶根路径的授权也恢复用于入口和列举控件判断，具体对象操作仍受原有前缀范围限制。对象标签写入被拒绝时，现在会显示服务端的 JSON 错误；此前成功响应为空的 API 方法会丢失这些错误详情。成功下载与空响应的处理保持原样。诊断数据流、IAM Reset、列表新鲜度、工作区入口和错误显示修复不新增 CVE 修复项。
桶搜索还会在页面导航后丢弃延迟的查询更新。此前，打开对象工作区时，如果页面代码尚在加载，旧搜索定时器可能把用户带回桶列表。回归测试通过延迟页面代码加载并明确推进搜索定时器覆盖这个竞态。
独立 Console v2.5.0 不会替换 Server 内嵌控制台。配套 Server 修复已进入 main，但尚未发布；本次 Console 发布不附带新 Server 版本。CI 使用配套 Server 源码和本地测试镜像，这些镜像不是分发制品。
Console 发行验收
正式 GitHub Release 包含 44 个文件：六个平台的独立二进制及配套归档、九个 DEB/RPM/APK 软件包，以及源码、许可材料、校验和、SPDX SBOM 与 Sigstore bundle。Windows 使用 ZIP，Linux 与 macOS 使用 tar.gz。已核对下载文件哈希、包内容、Go 1.27.3 构建信息与准确源码提交。公开 Go 模块为 v0.0.0-20261025145732-989fa7150792，模块代理来源与校验和数据库记录均匹配标签源码。
正式提交的必需测试矩阵与漏洞检查通过，包含 658 项浏览器测试。实际下载的发行二进制又分别连接已发布的 Server 20261018 与修复后的 Server 源码，在每方向增加 75/250 ms 延迟后通过 12 次健康报告检查：报告完整，WebSocket 均以 1000 正常关闭。Reset 在修复后的 Server 上立即恢复默认策略；旧 Server 首次读取失败的边界仍如上文所述。
发行构建与镜像推进流程验证了签名、SPDX 证明、GitHub 来源证明及 Linux amd64/arm64 匿名拉取。镜像内二进制与许可文件匹配发行制品。docker.io/pgsty/silo-console:v2.5.0 与 latest 指向同一已验证索引：
核验方法见发行契约，安装见下载页。本次只发布独立 Console；Server 20261018 仍内嵌 Console v2.4.2。
10 月 24 日追加的 Go 依赖更新
Go 工具链维持 1.27.3。相对 10 月 22 日的候选依赖，本轮纳入 26 个新发布的第三方模块版本，并补齐 Arrow 与 codescan 两项此前已发布的版本差距，共更新 28 个不同模块：
| 依赖 | 本轮版本变化 | 涉及组件 |
|---|---|---|
| pkg/sftp | 1.13.11 → 1.13.12 | SILO |
| etcd 的 api/v3、client/pkg/v3、client/v3 | 3.7.2 → 3.7.3 | silo-pkg、mcli、Console、SILO |
| JWX | 3.3.0 → 3.4.0 | silo-pkg、mcli、Console、SILO |
| nats.go | 1.54.0 → 1.55.0 | SILO |
| procfs | 0.22.0 → 0.23.0 | mcli、Console、SILO、KES |
| AWS SDK v2，共 14 个模块 | core 1.47.3 → 1.47.4；config 1.33.9 → 1.33.10；credentials 1.20.9 → 1.20.10；Secrets Manager 1.50.5 → 1.50.6，以及对应配套模块 | KES |
| GCP IAM / Monitoring / Secret Manager / Google API | IAM 1.14.0 → 1.15.0；Monitoring 1.31.0 → 1.32.0；Secret Manager 1.22.0 → 1.23.0；Google API 0.307.0 → 0.308.0 | IAM 与 Google API：SILO、KES；Monitoring：SILO；Secret Manager：KES |
| go-rootcerts | 1.0.2 → 1.1.0 | KES |
| Arrow | 18.7.0 → 18.8.0 | SILO 的 Azure SDK 间接依赖 |
| codescan | 0.36.4 → 0.36.6 | Console 生成工具链 |
保留现有 API 行为与输出兼容性例外。内部组件的正式版本引用在发布时按依赖顺序更新；本地联调使用各组件的候选源码。完整模块图中未被应用及自身测试导入的其他更新节点，不人为添加根依赖追平版本。
已纳入的运行时安全修复
Go 与证书信任
CVE-2026-111943 / GO-2026-6809：Go 1.27.3 在 crypto/x509 证书链校验中直接拒绝已知失信的中间证书，在操作系统信任库尚未更新时也能提供兜底拦截。五个主项目及全部独立调试工具均统一使用 Go 1.27.3 编译。
此外，SILO、mcli 与 KES 的 UBI 容器信任库已应用 Red Hat RHSB-2026-012 的根证书封禁列表。由于根级封禁会一并拒绝挂靠在这些根证书之下的所有证书链，其拦截范围比 Go 1.27.3 的中间证书黑名单更广；若外部服务仍使用受影响根证书签发的证书链，需先行更换证书。发行版 CA 软件包的跟进状态见下文本地缓解。
SFTP 依赖安全加固
pkg/sftp 1.13.12 修复了 10 月 23 日公布的三项安全问题。截至本次核对，它们均没有 CVE 编号，以下按 GHSA 单独记录，不计作新增 CVE：
| 公告 | 上游问题 | SILO 适用性 |
|---|---|---|
| GHSA-xgcg-wgmj-5rw3，Medium | Client.RemoveAll 跟随顶层符号链接，可能删除目标目录内容 |
SILO 服务端未调用该客户端 API |
| GHSA-47hq-m6q9-3rm6，Medium | sftp.Server 的 ReadOnly 模式允许创建硬链接 |
SILO 使用 NewRequestServer 与自有 driver，未使用该只读 Server API |
| GHSA-h959-g3h6-w76c，High | ReadOnly 模式允许截断或新建文件 | 同上 |
上游后两条公告的受影响版本区间（affected range）与修复版本字段存在矛盾，本次直接升级至包含实际代码修复的 1.13.12 并通过回归测试验证（当前 Go 漏洞库快照停留在 10 月 21 日，尚未收录这三条 10 月 23 日发布的公告）。
静态 curl 及其链接库
SILO 容器镜像内置的静态 curl 从 8.22.0 升级至 8.23.0（启用 HTTP/2、SSH 与 Brotli，TLS 后端采用 OpenSSL）。下表完整列出 curl 8.22.0 官方漏洞汇总中的 21 个 CVE 及其在当前静态构建中的适用情况：
| CVE | 问题 / 适用性 |
|---|---|
| CVE-2026-92392 | HTTP/2 上传释放后使用（UAF） |
| CVE-2026-107929, CVE-2026-94266, CVE-2026-94265, CVE-2026-86413, CVE-2026-86414, CVE-2026-86415, CVE-2026-87861 | 连接复用、凭据或认证边界处理缺陷 |
| CVE-2026-92386, CVE-2026-86412, CVE-2026-87862, CVE-2026-87863 | Cookie 与 HSTS 状态污染 |
| CVE-2026-92387, CVE-2026-92388, CVE-2026-92389, CVE-2026-92390, CVE-2026-92391 | 循环处理、FTP/TFTP、下载文件名及 MIME 递归解析 |
| CVE-2026-86410, CVE-2026-87865 | SSH 主机校验及 known_hosts 回调 |
| CVE-2026-107928, CVE-2026-87866 | 仅影响 GnuTLS / wolfSSL 后端；当前 OpenSSL 构建不使用这两类后端 |
静态链接的 Alpine 底层库同步升级至以下回补版本（-rN 代表含安全回补的 Alpine 修订号）：
| 库 | 本次版本变化 | CVE |
|---|---|---|
| Brotli | 1.2.0-r1 → 1.2.1-r0 | CVE-2026-111497 |
| musl | 1.2.6-r2 → 1.2.6-r3 | CVE-2026-107891 |
| libssh2 | 1.11.1-r3 → 1.11.1-r4 | CVE-2025-15661, CVE-2026-58050, CVE-2026-58051, CVE-2026-66032, CVE-2026-66033, CVE-2026-66034, CVE-2026-66035 |
此前发布的 SILO arm64 镜像静态库清单已包含 OpenSSL 3.5.9-r0、nghttp2 1.70.0-r0（CVE-2026-58055）与 zlib 1.3.2-r1（CVE-2026-85091）；本次在构建脚本中显式锁定上述最低安全版本并完成双架构验证。Alpine 修复修订详见官方安全元数据。
构建与开发工具安全修复
本节记录 SILO Console 前端资源构建、代码生成与测试环境（生产环境运行的是编译后的 Go 服务端二进制），以及仓库内独立的 Go 调试模块。
Node 24.22.1
构建环境的 Node.js 从 24.22.0 升级至 24.22.1。下表列出 Node.js 2026 年 10 月安全公告中适用于 Node 24.x 的 8 个 CVE（不含仅影响 Node 26 的条目）：
| CVE | 修复内容 |
|---|---|
| CVE-2026-105482 | DNS 名称中的 NUL 字节截断 |
| CVE-2026-105483, CVE-2026-106069, CVE-2026-106072 | 非规范 IP 地址导致 TLS 主机名校验绕过 |
| CVE-2026-111497 | Brotli 解码越界写（Node 已回补修复，内置版本字符串仍显示 1.2.0） |
| CVE-2026-105481 | HTTP keep-alive 接受请求前的响应数据 |
| CVE-2026-106074 | 启动快照重复使用随机数缓存 |
| CVE-2026-106073 | fs.realpathSync 权限模型绕过 |
Node 24.22.1 内置的 Undici 从 7.29.1 升至 7.30.1，包含以下 8 项修复（详见 Undici v7.30.1 发布说明）：
| CVE | 修复内容 |
|---|---|
| CVE-2026-87018, CVE-2026-109383 | TLS 重协商崩溃、Agent 丢失自定义验证回调 |
| CVE-2026-109829, CVE-2026-109841 | 跨源缓存污染 / 数据泄露及 SRI 校验绕过 |
| CVE-2026-109869, CVE-2026-87029, CVE-2026-109924, CVE-2026-109932 | 内容解码、EventSource 和 WebSocket 的拒绝服务 |
Node 24.22.1 内置的 OpenSSL 从 3.5.8 升至 3.5.9（旧 Node 24.22.0 仍停留在 3.5.8），涵盖 DTLS、QUIC、CRL、CMP、EC / SM2 与握手内存安全方面的 13 项修复：CVE-2026-84782, CVE-2026-35189, CVE-2026-35191, CVE-2026-42772, CVE-2026-54872, CVE-2026-54873, CVE-2026-54875, CVE-2026-72897, CVE-2026-75804, CVE-2026-75805, CVE-2026-75806, CVE-2026-77696, CVE-2026-84784。
Node 24.22.1 内置的 c-ares 从 1.34.8 升至 1.34.9，修复了 11 条尚未分配独立 CVE 编号的上游 GHSA 公告（其中 GHSA-wpr3-8q3r-4q8c 补齐了此前 CVE-2026-33630 修复遗漏的连接关闭路径，上游仍标为 No known CVE）：
| 公告 | 修复内容 |
|---|---|
| GHSA-wpr3-8q3r-4q8c | 连接失败后取消查询时的内存破坏 |
| GHSA-fqh5-3x7m-wp44 | 接受来自错误 DNS 服务器的响应 |
| GHSA-97vq-4mxv-7vhm | 关闭失败连接后查询对象的释放后使用 |
| GHSA-rf6g-ww74-97qh | 取消 / 关闭回调中的释放后使用 |
| GHSA-mw23-pfg6-2x9r | socket 状态回调后的释放后使用 |
| GHSA-v33j-65h4-4ch8 | 服务器状态回调取消查询时的释放后使用 |
| GHSA-pj7p-v3cw-hq66 | 回调更换 DNS 服务器时的释放后使用 |
| GHSA-grv7-fq5q-9vfc | 读取缓存响应时的释放后使用 |
| GHSA-ph6c-3cvx-mq6v | 并发复制选项 / 修改服务器时的缓冲区溢出 |
| GHSA-cfcv-8v2j-qj6r | 带前缀长度的 IPv6 地址暴露未初始化内存 |
| GHSA-wrgc-prmw-27xh | 缓存错误复用不同 EDNS 选项的响应 |
前端依赖与代码生成器
| 依赖 | CVE / GHSA | 修复内容 |
|---|---|---|
| fast-uri 3.1.7 → 3.1.9 | CVE-2026-86472 | 编码主机名大小写规范化不一致 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101913 | 链路本地 IPv6 分类错误 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101910 | 遗漏 NAT64 本地使用网段 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101912 | 混合地址族的子网检查绕过 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101911 | 超长地址错误诊断导致资源耗尽 |
| moment 2.30.1 → 2.31.0 | CVE-2026-17495 | 非字符串 locale 参数路径穿越 |
| smol-toml 1.8.0 → 1.9.1 | GHSA-r4xh-jqrq-34v2 | TOML 解析二次复杂度 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112945 | 开发中间件跨源脚本执行 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112946 | 开发服务器文件允许列表绕过 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112943 | Windows 编辑器参数转义不足 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112944 | 编辑器参数被解释为命令选项 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112942 | Windows 编辑器路径检查绕过 |
此外，代码生成工具 go-swagger 从 0.33.2 升级至 0.36.6，修复 GHSA-8gmg-wf5j-hvf7 与 GHSA-rg22-m539-jwvf（不可信 OpenAPI 规范中的内容类型或枚举值在代码生成阶段可能触发代码注入，上游首次修复版本为 0.35.3，无独立 CVE 编号）。生成文件已与新版工具同步；生成流程显式保留经过审查的配置导入绑定器与 multipart 处理方式，并通过回归测试保留原有文件大小、文件名和表单编码行为。
独立 Go 调试模块
服务端仓库下的 inspect、s3-verify 与 xattr 三个独立调试模块此前落后于根模块版本。本次同步消除了 37 个带 CVE 编号的依赖版本告警及 1 个无 CVE 的 S2 公告：
| 依赖 | 受影响独立模块 | 最终版本 |
|---|---|---|
| golang.org/x/crypto | inspect、s3-verify | 0.58.0 |
| golang.org/x/net | s3-verify | 0.61.0 |
| golang.org/x/text | s3-verify | 0.43.0 |
| golang.org/x/sys | inspect、xattr | 0.49.0 |
| klauspost/compress | inspect、s3-verify | 1.20.3 |
下表列出对应的 Go 官方漏洞库条目与上游首次修复版本（OpenPGP 的无修复公告单列于下文其他残留项）：
| CVE / 公告 | 依赖 | 首次修复 | 问题 |
|---|---|---|---|
| GO-2026-5841 | klauspost/compress | v1.18.7 | S2 越界读取（无 CVE 编号） |
| CVE-2026-39824 | x/sys | v0.44.0 | Windows Unicode 字符串整数溢出 |
| CVE-2025-47913 | x/crypto | v0.43.0 | SSH agent 拒绝服务 |
| CVE-2025-58181 | x/crypto | v0.45.0 | SSH 无界内存消耗 |
| CVE-2025-47914 | x/crypto | v0.45.0 | SSH agent 畸形约束拒绝服务 |
| CVE-2026-39833 | x/crypto | v0.52.0 | SSH agent 密钥约束未执行 |
| CVE-2026-39832 | x/crypto | v0.52.0 | SSH 密钥转发丢失约束 |
| CVE-2026-46597 | x/crypto | v0.52.0 | SSH 字节运算下溢及 panic |
| CVE-2026-39828 | x/crypto | v0.52.0 | SSH 证书限制绕过 |
| CVE-2026-39835 | x/crypto | v0.52.0 | SSH 主机密钥 / 认证回调 panic |
| CVE-2026-39827 | x/crypto | v0.52.0 | 拒绝 SSH channel 时内存泄漏 |
| CVE-2026-39830 | x/crypto | v0.52.0 | SSH 非预期响应导致死锁 |
| CVE-2026-39829 | x/crypto | v0.52.0 | 畸形 RSA / DSA 参数导致拒绝服务 |
| CVE-2026-39831 | x/crypto | v0.52.0 | FIDO / U2F 物理交互要求绕过 |
| CVE-2026-39834 | x/crypto | v0.52.0 | SSH 大 channel 写入无限循环 |
| CVE-2026-42508 | x/crypto | v0.52.0 | known_hosts 的 @revoked 未执行 |
| CVE-2026-46595 | x/crypto | v0.52.0 | VerifiedPublicKeyCallback 权限未执行 |
| CVE-2026-46598 | x/crypto | v0.52.0 | SSH agent 畸形输入导致 panic |
| CVE-2026-56854 | x/crypto | v0.55.0 | SSH 非公钥认证遗漏 source-address 约束 |
| CVE-2026-78662 | x/crypto | v0.56.0 | 未决 SSH channel 死锁 |
| CVE-2026-56855 | x/crypto | v0.56.0 | 已建立 SSH channel 死锁 |
| CVE-2025-47911 | x/net | v0.45.0 | HTML 解析二次复杂度 |
| CVE-2025-58190 | x/net | v0.45.0 | HTML 解析无限循环 |
| CVE-2026-33814 | x/net | v0.53.0 | HTTP/2 非法帧大小导致循环 |
| CVE-2026-42506 | x/net | v0.55.0 | HTML foreign content 命名空间处理错误 |
| CVE-2026-39821 | x/net | v0.55.0 | 未拒绝纯 ASCII 的 Punycode 标签 |
| CVE-2026-42502 | x/net | v0.55.0 | HTML foreign content 元素处理错误 |
| CVE-2026-25680 | x/net | v0.55.0 | 畸形 HTML 解析拒绝服务 |
| CVE-2026-25681 | x/net | v0.55.0 | DOCTYPE 字符引用处理错误 |
| CVE-2026-27136 | x/net | v0.55.0 | 重复 HTML 属性导致 XSS |
| CVE-2026-46600 | x/net | v0.56.0 | 畸形 SVCB / HTTPS DNS 记录导致 panic |
| CVE-2026-78659 | x/net | v0.60.0 | HTTP/2 Trailer 导致内存耗尽 |
| CVE-2026-78660 | x/net | v0.60.0 | HTTP/2 接受畸形帧相关头 |
| CVE-2026-78669 | x/net | v0.60.0 | HTTP/2 窗口反复变化导致 CPU 耗尽 |
| CVE-2026-78663 | x/net | v0.60.0 | HTTP/2 流控额度重复返还 |
| CVE-2026-97032 | x/net | v0.60.0 | HTTP/2 HPACK 编码器竞争导致崩溃 |
| CVE-2026-56852 | x/text | v0.39.0 | 非法文本输入导致无限循环 |
| CVE-2026-56851 | x/text | v0.41.0 | PRECIS 解析畸形输入导致 panic |
上游或发行版仍未解决的条目
截至 2026-10-23，以下条目在上游或所选操作系统发行版中尚无可用修复版本。我们保留原始扫描记录，并逐项说明已采取的本地缓解措施或运行时可达性边界。
已做本地缓解，等待上游发布
| 条目 | 上游 / 发行版状态 | 本次处理及剩余边界 |
|---|---|---|
| CVE-2026-93687 / braces | 最新 npm 版本仍为 3.0.3，上游尚未发布修复版本 | 对 [email protected] 应用本地 Yarn 补丁，将解析与 AST 遍历深度限制为 100（13 项回归测试通过）。该包仅位于前端构建/测试依赖图；纯版本号比对的扫描器仍会提示告警。待上游发布官方修复版并通过验证后移除本地补丁。 |
| CVE-2026-111943 / UBI CA | 验收时 UBI 9 仍提供 ca-certificates 2025.2.80_v9.0.305-91.el9，尚未包含最新信任变更 |
已在构建阶段执行 Red Hat 官方根证书封禁并校验生成的 PEM 文件；Go 1.27.3 与 Node 24.22.1 也各自内置了证书信任拦截。后续继续跟踪 UBI ca-certificates 包更新。 |
UBI 9.8 尚无适用发行版补丁的扫描记录
2026-10-22 对 SILO、mcli 与 KES 在 amd64 和 arm64 上的系统组件验收镜像（包含最终静态 curl 与 CA 证书库）进行了扫描：每个镜像均保留 24 条 RPM 记录，对应同一组 12 个唯一 CVE（15 条 Medium、9 条 Low，无 High / Critical，所有记录的 FixedVersion 均为空）。2026-10-23 复查 Red Hat 安全数据时，以下 RHEL 9 源包状态仍为 Affected 或 Fix deferred。
由于 RPM 扫描器按源包（SRPM）映射漏洞，部分仅存在于未安装命令行工具或其他 CPU 架构中的缺陷也会挂靠到基础运行库（如 libgcc、glibc）名下；下表逐一列出各条目的实际适用范围：
| CVE | 源包 | Red Hat 级别 | RHEL 9 状态 | 适用性 |
|---|---|---|---|---|
| CVE-2026-56391 | coreutils | Moderate | Fix deferred | uniq 多字节输入越界读，需特定命令行参数与输入触发 |
| CVE-2026-8674 | glibc | Moderate | Fix deferred | DNS resolver 处理超长搜索域时触发进程中止 |
| CVE-2026-86805 | glibc | Moderate | Affected | 动态加载器本地竞争，需满足本地 setuid、路径与硬链接前提 |
| CVE-2026-89092 | glibc | Moderate | Affected | nscd DNS 缓存守护进程缺陷；容器镜像未安装 nscd 包 |
| CVE-2026-95818 | glibc | Moderate | Affected | 动态加载器栈越界，需特定本地 setuid 与路径条件 |
| CVE-2026-97399 | glibc | Low | Affected | Power8 架构专用优化路径；发布镜像仅针对 amd64 / arm64 |
| CVE-2021-46195 | gcc | Low | Fix deferred | libiberty 符号解码器递归耗尽（Red Hat 公告中的 mingw-gcc 修复不适用于 libgcc 运行库） |
| CVE-2022-27943 | gcc | Low | Fix deferred | libiberty 缺陷；Red Hat 明确说明 libgcc / libstdc++ 不含受影响代码 |
| CVE-2026-95619 | gcc | Moderate | Affected | libstdc++ 对齐分配溢出，因源包归属映射为 libgcc 告警 |
| CVE-2026-102010 | gcc | Moderate | Affected | libstdc++ 可选 pb_ds 容器缺陷，因源包归属映射为 libgcc 告警 |
| CVE-2023-50495 | ncurses | Low | Fix deferred | tic 终端编译工具缺陷，不在 libncurses 运行库中 |
| CVE-2022-41409 | pcre2 | Low | Fix deferred | 仅影响 pcre2-tools 命令行工具；UBI 未安装该工具包 |
构建阶段与无 CVE 公告
- Alpine 构建阶段宿主包的
curl/libcurl仍为8.22.0-r0：截至 2026-10-23，Alpine 双架构包索引尚未推送8.23.0。该包仅在容器构建阶段用于下载固定 SHA-256 校验和的源码包，最终打入运行镜像的是从源码编译的静态curl 8.23.0。 - GO-2026-5932：
golang.org/x/crypto/openpgp已废弃且无上游修复版本（无 CVE 编号）。虽然golang.org/x/crypto仍在模块图中，但已核查的构建目标均未导入受影响的openpgp子包。
已有历史修复，不属于本次新增漏洞
按模块路径匹配的二进制扫描器仍会对 SILO 报告 CVE-2025-27414、CVE-2026-33322、CVE-2026-33419、CVE-2026-34204、CVE-2026-39414、CVE-2026-40344、CVE-2026-41145、CVE-2026-42600（因为 SILO 保留了 github.com/minio/minio 模块路径，而上游通告使用开放版本区间）。这八项缺陷在此前版本中均已修复并通过回归测试，详见 SFTP 公告、OIDC、LDAP、复制元数据、CSV、Snowball、签名校验 与 ReadMultiple。
兼容性与发布前验证
为避免已复现的终端表格输出变化、字符宽度计算差异及 NetBSD 交叉编译回归，本次固定保留 tablewriter 0.0.5、go-humanize 1.0.1、根模块 go-runewidth 0.0.29 及 go-systemd/v22 22.6.0（xattr 模块保留其既有宽度库组合）。此外：
- Kafka 通知目标在应用用户配置前显式保留协议版本默认值
2.1； - DARE 加密继续使用 32 字节密钥与 v2 写入格式，并修复旧 v1 解封缓冲区处理；
pgzip保留对缺失校验尾部返回unexpected EOF的完整性检查。
10 月 22 日至 23 日的候选构建（与回退基线均基于 Go 1.27.3，持久化验收在单节点四盘 Linux arm64 环境执行）已完成以下验证：
- 全量编译、适用的
-race与 lint 检查； - 加密对象在新旧依赖栈之间的互读与回滚验证；
- 服务重启、缺失分片自愈恢复与 CLI 格式化输出校验；
- Console 真实对象上传下载、ZIP 归档预览、WebSocket 会话及监控指标图表验证。
10 月 24 日追加升级后的候选源码另行完成以下验证：
- silo-pkg、mcli、KES 的全量 race 测试，Console 的 API / pkg / cmd race 测试，以及 SILO 的全量测试和 SFTP、IAM、Parquet 专项 race 测试；五个项目的 lint、模块校验与依赖整洁性检查通过。
- SFTP 自有驱动在 HTTP / HTTPS S3 后端上的对象读写、列表、删除、Unicode 文件名、传输块边界和只读权限保护；上游只读服务与符号链接删除回归测试通过。旧、新依赖均通过新增的对象操作测试。
- JWX 签名与时间声明边界对照通过；68 项 CLI 输出对照无新增差异，仅对既有元数据映射顺序做归一化。
- 本地 etcd 服务的 mTLS、账户认证、事务、watch、lease 和旧→新→旧客户端跨服务重启读取；NATS / STAN 的消息持久化、ACK、持久订阅游标及断线重连通过。
- Azure / GCS 本地协议夹具、KES GCP Secret Manager 操作与分页、Azure SDK 的 Arrow 解码测试、procfs 完整上游解析夹具测试通过。procfs 更新包含 bcache 单位及 NVMe 大小的解析修正，相关指标数值可能随之纠正。
- mcli、Console、SILO、KES 的 Darwin arm64 原生构建与 Linux amd64 交叉构建，以及 mcli、SILO 的 NetBSD amd64 交叉构建通过。
本轮五个项目的 Linux amd64 包级 Go 漏洞扫描未发现受影响的已导入包（仅余未导入受影响子包的模块级 GO-2026-5932 记录）。
其余组件正式发布前，本页将补全相应版本号、制品校验和与容器镜像 digest，并更新上述待定上游条目的最新状态。