远程主机上安装的 golang 版本低于 1.18.9-1。因此，该软件受到 ALAS2-2023-2015 公告中提及的多个漏洞影响。

    ReverseProxy 转发的请求包含来自入站请求的原始查询参数，其中包括被 net/http 拒绝的无法解析的参数。当 Go 代理转发具有不可解析值的参数时，这可能允许查询参数走私。修复后，在 ReverseProxy 之后设置出站请求的表单字段时，ReverseProxy 会审查转发的查询中的查询参数。Director 函数返回即表示代理已解析查询参数。不解析查询参数的代理继续转发不变的原始查询参数。(CVE-2022-2880)

    Go 1.17.11 和 Go 1.18.3 之前的 os/exec 中 Cmd.Start 中的代码注入允许通过调用 Cmd.Run、Cmd.Start、Cmd.Output、或未设置 Cmd.Path 时的 Cmd.CombinedOutput。 (CVE-2022-30580)

    Windows 中 Go 1.17.11 之前的 crypto/rand 和 Go 1.18.3 中 Read 中的无限循环允许攻击者通过传递大于 1 << 32 - 1 字节的缓冲区造成无限挂起。 (CVE-2022-30634)

    Go 项目已将此问题描述如下：

    在 Windows 上，filepath.Clean 函数可将无效路径转换为有效路径，例如将 a/../c:/b 转换为有效路径 c:\b。这种从相对（如果无效）路径到绝对路径的转换可能会发动目录遍历攻击。filepath.Clean 函数现在会将此路径 转换为相对路径但仍无效 。\c\b。 (CVE-2022-41722)

    http2/hpack : 避免 hpack 解码中的二次方复杂性 (CVE-2022-41723)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2golang、 --advisory ALAS2-2023-2015 (ALAS-2023-2015)

high Nessus 插件 ID 174580

版本 1.0