USN-8900-1: falhas no pacote Go Networking em HTTP/2, HTML e IDNA

Radar: aviso USN-8900-1, publicado no feed do Ubuntu Security em 7 de outubro de 2026 (19:09 UTC). O texto recebido é uma tradução automática e trata do pacote Go Networking. As falhas envolvem HTTP/2, análise de HTML e IDNA. Em HTTP/2, o tratamento incorreto de erros do servidor após um quadro GOAWAY durante o encerramento de conexão pode travar a conexão (CVE-2022-27664), e a decodificação de cabeçalhos HPACK tem complexidade quadrática (CVE-2022-41723). Na análise de HTML, nós de texto fora do namespace HTML são renderizados como texto literal, sem escape, o que pode permitir XSS (CVE-2023-3978). Outras entradas HTML causam análise não linear em relação ao tamanho (CVE-2024-45338), tags em conteúdo estrangeiro com atributos sem aspas terminados em barra são tratadas como autocontidas e colocam conteúdo no escopo errado, podendo permitir XSS (CVE-2025-22872), há complexidade quadrática de análise (CVE-2025-47911) e loop infinito (CVE-2025-58190). Em IDNA, rótulos Punycode que decodificam apenas para ASCII são aceitos indevidamente, o que pode permitir contornar controles de acesso e escalar privilégios (CVE-2026-39821). Para verificar, consulte o aviso original no site do Ubuntu Security pelo número USN-8900-1, confira a versão do pacote instalada e compare com a versão corrigida indicada ali.