远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2022:7398 公告中提及的多个漏洞影响。

  - go-yaml：go-yaml 中的拒绝服务 (CVE-2021-4235)

  - golang：net/http：未正确审查 Transfer-Encoding 标头 (CVE-2022-1705)

  - golang：读取标头时发生无限制的内存消耗 (CVE-2022-2879)

  - golang：net/http/httputil：ReverseProxy 不应转发无法解析的查询参数 (CVE-2022-2880)

  - cri-o：错误处理附属组 (CVE-2022-2995)

  - python-scciclient：缺少服务器证书验证 (CVE-2022-2996)

  - kubernetes：未经授权读取自定义资源 (CVE-2022-3162)

  - kube-apiserver：聚合 API 服务器可导致客户端被重定向 (SSRF) (CVE-2022-3172)

  - OpenShift：缺少 HTTP 严格传输安全策略 (CVE-2022-3259)

  - cri-o： CVE-2022-27652 的安全回归 (CVE-2022-3466)

  - golang：net/http：处理发送 GOAWAY 后发生的服务器错误 (CVE-2022-27664)

  - golang: compress/gzip：Reader.Read 中的堆栈耗尽问题 (CVE-2022-30631)

  - golang: net/http/httputil：NewSingleHostReverseProxy - 无法省略 X-Forwarded-For (CVE-2022-32148)

  - golang：math/big：如果编码的消息太短，则解码 big.Float 和 big.Rat 类型可能发生错误，从而可能造成拒绝服务 (CVE-2022-32189)

  - golang: net/url：JoinPath 未在所有情况下剥离相对路径组件 (CVE-2022-32190)

  - golang：regexp/syntax：限制解析 regexp 使用的内存 (CVE-2022-41715)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8/9：OpenShift Container Platform 4.12.0 (RHSA-2022:7398)

high Nessus 插件 ID 194196

版本 1.3