Aviso Ubuntu USN-8900-1: falhas no Go Networking em HTTP/2, análise de HTML e IDNA

O que aconteceu e o que fazer

O aviso USN-8900-1, publicado pela Ubuntu Security em 7 de outubro de 2026, descreve oito vulnerabilidades no pacote Go Networking. Os problemas afetam o tratamento de erros após quadros GOAWAY em HTTP/2, a decodificação de cabeçalhos HPACK com complexidade quadrática, a análise de HTML que pode consumir recursos em excesso ou entrar em loop infinito, a renderização de nós de texto fora do namespace HTML que permite XSS, a interpretação de tags em conteúdo estrangeiro e a aceitação de rótulos Punycode que resultam apenas em ASCII no processamento de nomes internacionalizados. Os identificadores são CVE-2022-27664, CVE-2022-41723, CVE-2023-3978, CVE-2024-45338, CVE-2025-22872, CVE-2025-47911, CVE-2025-58190 e CVE-2026-39821. Os impactos citados vão de negação de serviço a ataques de script entre sites e contorno de controles de acesso.

Na prática, uma empresa deveria primeiro levantar quais serviços, gateways, proxies e aplicações internas usam Go com os pacotes de rede e de análise de HTML afetados, incluindo componentes de terceiros. Em seguida, é preciso aplicar as atualizações indicadas pela distribuição, reiniciar os serviços e validar a versão em execução. Como alguns riscos são de exaustão de recursos, vale configurar limites de tempo, tamanho de corpo e de cabeçalhos, além de monitorar consumo de CPU e memória em endpoints que recebem HTML ou tráfego HTTP/2. Para o risco de controle de acesso em nomes internacionalizados, convém revisar regras baseadas em domínio e testar entradas Punycode nos filtros. Um pipeline de testes com entradas malformadas pode reproduzir os casos antes e depois da correção.

Como a consultoria pode ajudar

Diagnóstico do inventário de serviços Go expostos a esses pacotes, avaliação de prioridade por exposição externa, plano de atualização com testes de regressão e monitoramento de consumo de recursos e de versões em produção, implantados na infraestrutura do cliente.

Próximo passo

Se a sua empresa roda serviços em Go ou depende de componentes de rede e análise de HTML, envie uma breve descrição do seu ambiente e do que precisa avaliar. Responderemos com uma proposta de diagnóstico e implementação com escopo definido.