远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS 主机上安装的多个程序包受到 USN-7109-1 公告中提及的多个漏洞影响。

    Philippe Antoine 发现 Go 未能正确处理特制 HTTP/2 流。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2022-41723)

    Marten Seemann 发现，Go 在某些情况下未能正确管理内存。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2022-41724)

    Ameya Darshan 和 Jakob Ackermann 发现 Go 未正确验证 ReadForm 可消耗的内存量和磁盘文件。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2022-41725)

    Hunter Wittenborn 发现 Go 未能正确处理环境变量审查。攻击者可能利用此问题执行任意命令。(CVE-2023-24531)

    Jakob Ackermann 发现 Go 未能正确处理多部分表单。攻击者可能利用此问题过度消耗资源，从而导致拒绝服务。(CVE-2023-24536)

    Juho Nurminen 发现 Go 未能正确处理目录或文件路径中的某些特殊字符。攻击者可能利用此问题向二进制文件注入代码。
    (CVE-2023-29402)

    Vincent Dehors 发现 Go 未能正确处理权限位。攻击者可能利用此问题借助提升的特权读取或写入文件。(CVE-2023-29403)

    Juho Nurminen 发现 Go 未能正确处理某些编译器指令。攻击者可能利用此问题执行任意代码。(CVE-2023-29404)

    Juho Nurminen 发现 Go 未能正确处理某些构建的参数。攻击者可能利用此问题在构建时执行任意代码。(CVE-2023-29405)

    Bartek Nowotarski 发现 Go 未能正确验证主机标头的内容。远程攻击者可能利用此问题注入其他标头或整个请求。(CVE-2023-29406)

    Takeshi Kaneko 发现 Go 未正确处理 html/template 模块的脚本上下文中的注释和特殊标签。攻击者可能利用此问题注入 Javascript 代码并执行跨站脚本攻击。（CVE-2023-39318、CVE-2023-39319）

    据发现，Go 在编译期间未能正确验证 //go:cgo_ 指令。攻击者可能利用此问题在编译期间注入任意代码。(CVE-2023-39323)

    据发现，Go 未限制 net/http 模块中同时执行的处理程序 goroutine 的数量。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2023-39325)

    Bartek Nowotarski 发现当请求的标头超过 MaxHeaderBytes 时，Go net/http 模块未正确处理请求。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2023-45288)

    Bartek Nowotarski 发现 Go net/http 模块在解析多部分表单时，未正确验证已解析表单的总大小。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2023-45290)

    John Howard 发现 Go crypto/x509 模块未能正确处理包含带有未知公钥算法的证书的证书链。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-24783)

    John Howard 发现 Go net/mail 模块未正确处理 ParseAddressList 函数中显示名称内的注释。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-24784)

    发现 Go html/template 模块不验证从 MarshalJSON 方法返回的错误。攻击者可能利用此问题向 Go 模版注入任意代码。
    (CVE-2024-24785)

    Yufan You 发现 Go archive/zip 模块未能正确处理某些无效 zip 文件类型，处理方式与大多数 zip 实现的方式不同。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-24789)

    Enze Wang 和 Jianjun Chen 发现 Go net/netip 模块以多种 Is 方法无法正常映射 IPv4 的 IPv6 地址。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-24790)

    Geoff Franks 发现 Go net/http 模块在某些情况下未能正确处理对具有 Expect: 100-continue 标头的请求的响应。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2024-24791)

    据发现，Go 解析器模块未正确处理深度嵌套的文字值。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-34155)

    Md Sakib Anwar 发现 Go encoding/gob 模块在某些情况下未能正确处理消息解码。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-34156)

    据发现，Go 构建模块未正确处理具有深度嵌套表达式的某些版本标记行。攻击者可能利用该问题引发错误，从而导致拒绝服务。(CVE-2024-34158)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Go 漏洞 (USN-7109-1)

critical Nessus 插件 ID 210950

版本 1.1