Amazon Linux 2golang、 --advisory ALAS2-2023-2015 (ALAS-2023-2015)
high Nessus 插件 ID 174580
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
远程主机上安装的 golang 版本低于 1.18.9-1。因此，该软件受到 ALAS2-2023-2015 公告中提及的多个漏洞影响。ReverseProxy 转发的请求包含来自入站请求的原始查询参数，其中包括被 net/http 拒绝的无法解析的参数。当 Go 代理转发具有不可解析值的参数时，这可能允许查询参数走私。修复后，在 ReverseProxy 之后设置出站请求的表单字段时，ReverseProxy 会审查转发的查询中的查询参数。Director 函数返回即表示代理已解析查询参数。不解析查询参数的代理继续转发不变的原始查询参数。(CVE-2022-2880)
Go 1.17.11 和 Go 1.18.3 之前的 os/exec 中 Cmd.Start 中的代码注入允许通过调用 Cmd.Run、Cmd.Start、Cmd.Output、或未设置 Cmd.Path 时的 Cmd.CombinedOutput。 (CVE-2022-30580)
Windows 中 Go 1.17.11 之前的 crypto/rand 和 Go 1.18.3 中 Read 中的无限循环允许攻击者通过传递大于 1 << 32 - 1 字节的缓冲区造成无限挂起。 (CVE-2022-30634)
Go 项目已将此问题描述如下：
在 Windows 上，filepath.Clean 函数可将无效路径转换为有效路径，例如将 a/../c:/b 转换为有效路径 c:\b。这种从相对（如果无效）路径到绝对路径的转换可能会发动目录遍历攻击。filepath.Clean 函数现在会将此路径 转换为相对路径但仍无效 。\c\b。 (CVE-2022-41722)
http2/hpack : 避免 hpack 解码中的二次方复杂性 (CVE-2022-41723)
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“yum update golang”或“yum update --advisory ALAS2-2023-2015”以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2-2023-2015.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2022-2880.html
https://explore.alas.aws.amazon.com/CVE-2022-30580.html
https://explore.alas.aws.amazon.com/CVE-2022-30634.html
插件详情
严重性: High
ID: 174580
文件名: al2_ALAS-2023-2015.nasl
版本: 1.5
类型: local
代理: unix
发布时间: 2023/4/20
最近更新时间: 2025/9/26
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 分数来源: CVE-2022-41722
CVSS v3
风险因素: High
基本分数: 7.8
时间分数: 7
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2022-30580
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:golang-race, p-cpe:/a:amazon:linux:golang-bin, p-cpe:/a:amazon:linux:golang-tests, p-cpe:/a:amazon:linux:golang, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-shared, p-cpe:/a:amazon:linux:golang-src
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2023/4/13
漏洞发布日期: 2022/6/7
参考资料信息
CVE: CVE-2022-2880, CVE-2022-30580, CVE-2022-30634, CVE-2022-41722, CVE-2022-41723
IAVB: 2022-B-0042-S, 2023-B-0012-S, 2023-B-0022-S