远程主机上安装的 golang 版本低于 1.20.12-1.49。因此，它受到公告 ALAS-2024-1903 中提及的多个漏洞影响。

  - 恶意 HTTP 发送方可以使用区块扩展来导致读取请求或响应正文的接收方从网络中读取比正文中更多的字节。当处理程序无法读取请求的整个正文时，恶意 HTTP 客户端可以进一步利用此问题导致服务器自动读取大量数据（最多约 1GiB）。区块扩展是一项很少使用的 HTTP 功能，允许在使用分块编码方式发送的请求或响应正文中包含附加元数据。net/http 分块编码读取器会丢弃此元数据。发送方可以通过在传输的每个字节中插入大的元数据段来利用这一点。如果实体与编码字节的比率变得太小，区块读取器现在会出现错误。(CVE-2023-39326)

  - filepath 程序包未将前缀为 \??\ 的路径识别为特殊路径。在 Windows 中，以 \??\ 开头的路径为本地设备根路径，等同于以 \\?\ 开头的路径。前缀为 \??\ 的路径可被用于访问系统上的任意位置。例如，路径 \??\c:\x 等同于更常见的路径 c:\x。在修复前，Clean 可将有根的路径（例如 \a\..\??\b 转换为本地设备根路径 \??\b。Clean 现在会将其转换为 .\??\b。同样，Join(\, ??, b) 可将看似无需的路径元素转换为本地设备根路径 \??\b。Join 现在会将其转换为 \.\??\b。此外，通过修复，IsAbs 现在可以正确地将以 \??\ 开头的路径报告为绝对路径，并且 VolumeName 可以正确将 \??\ 前缀报告为卷名称。更新：Go 1.20.11 和 Go 1.21.4 无意中更改了以 \? 开头的 Windows 路径中卷名称的定义，导致 filepath.Clean(\?\c: ) 返回 \?\c: 而不是 \?\c: \（及其他影响）。之前的行为已恢复。(CVE-2023-45283)

  - 在 Windows 上，IsLocal 函数在某些情况下未正确检测保留的设备名称。后跟空格的保留名称（例如 COM1 ），以及后跟上标 1、2 或 3 的保留名称 COM 和 LPT 会被错误地报告为本地名称。通过修复，IsLocal 现在可以正确地将这些名称报告为非本地名称。(CVE-2023-45284)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux AMI：golang (ALAS-2024-1903)

high Nessus 插件 ID 187711

版本 1.1

版本 1.0

版本 1.1 Mar 8, 2024, 6:26 PM IAVM reference Plugin Feed: 202403081826
版本 1.0 Jan 9, 2024, 11:15 AM New Plugin Feed: 202401091115