在 go get 或 go get -d 期间发现任意代码执行：Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042)

golang 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。golang 程序包提供 Go 编程语言编译器。下列程序包已升级到更新的上游版本： golang (1.9.4)。(BZ#1479095, BZ#1499827) 安全修复：* golang：'go get' 或 'go get -d' 中存在任意代码执行 (CVE-2017-15041) * golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) * golang：通过 C 编译器选项的 ‘go get’ 中存在任意代码执行 (CVE-2018-6574) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.5 版本说明。

下列程序包已升级到更新的上游版本： golang (1.9.4)。安全修复：- golang：“go get”或“go get -d”中存在任意代码执行 (CVE-2017-15041) - golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) - golang：“go get”期间通过 C 编译器选项执行任意代码 (CVE-2018-6574) 其他变更：

远程主机受到 GLSA-201710-23 中所述漏洞的影响（Go：多个漏洞）在 Go 中发现多个漏洞。请检查下面的参考以了解详细信息。影响：远程攻击者可执行任意 Go 命令或发动中间人攻击。解决方法：目前无任何已知的解决方法。

golang 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

golang 程序包提供 Go 编程语言编译器。

下列程序包已升级到更高的上游版本：
golang (1.9.4)。 （BZ#1479095， BZ#1499827）

安全修复：

* golang：'go get' 或 'go get -d' 期间的任意代码执行（CVE-2017-15041）

* golang：smtp.PlainAuth 容易受到中间人密码收集的影响（CVE-2017-15042）

* golang：在 'go get' 期间通过 C 编译器选项执行任意代码(CVE-2018-6574)

有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

更多变更：

如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.5 版本说明。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2017:3463 公告中提及的多个漏洞的影响。

    Go Toolset 提供 Go 编程语言工具及库。Go 又称为 golang。

    安全修复：

    * 在 Go 的 go get 命令处理源代码存储库检出的方式中发现任意命令执行缺陷。能够托管恶意存储库的远程攻击者可能会利用此缺陷在客户端上造成任意命令执行。 (CVE-2017-15041)

    * 据发现，Go 中的 smtp.PlainAuth 验证方案未正确验证 TLS 请求。远程中间人攻击者可能利用此缺陷来嗅探由 Go 应用程序发送的 SMTP 凭据。 (CVE-2017-15042)

    错误修复：

    * 此前，go-toolset-7 Software Collection 的启用脚本错误地将 GOPATH 环境变量设定到需要 root 权限才能执行写入操作的目录。因此，go 编译器会在执行特定命令时意外终止。启用脚本已更改，可以正确处理 GOPATH，而且所述问题不再发生。 (BZ#1512013)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 1.8.4 的Go 和低于 1.9.x1.9.1] 的Go 中存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间必须仅在使用 TLS 保护的网络连接上使用 PLAIN auth 方案。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 上游问题 #5184中这一点已更改以便服务器可以确定 PLAIN 是否可接受。
    结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。
    (CVE-2017-15042)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 golang 程序包：- Go 的 go get 命令处理源代码存储库检出的方式中发现任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2017-15041) - 据发现，Go 中的 smtp.PlainAuth 验证方案未正确验证 TLS 要求。远程中间人攻击者可能利用此缺陷找到 Go 应用程序发送的 SMTP 凭证。(CVE-2017-15042) - 在构建期间，Go 的 go get 命令处理 gcc 和 clang 敏感选项的方式中发现一个任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2018-6574) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

在 go get 或 go get -d 期间发现任意代码执行。Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042) 通过 C 编译器选项进行 'go get' 期间发生任意代码执行。在创建期间，Go 的 'go get' 命令处理 gcc 和 clang 敏感选项的方式中发现一个任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2018-6574)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
104392	Amazon Linux AMI : golang (ALAS-2017-918)	Nessus	Amazon Linux Local Security Checks	2017/11/6	2018/4/18	critical
108990	RHEL 7 : golang (RHSA-2018:0878)	Nessus	Red Hat Local Security Checks	2018/4/11	2025/3/20	critical
109448	Scientific Linux 安全更新：SL7.x 中的 golang (noarch)	Nessus	Scientific Linux Local Security Checks	2018/5/1	2024/10/16	critical
104066	GLSA-201710-23：Go：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/23	2021/1/11	critical
109376	CentOS 7：golang (CESA-2018:0878)	Nessus	CentOS Local Security Checks	2018/4/27	2024/10/22	critical
105367	RHEL 7：go-toolset-7 和 go-toolset-7-golang (RHSA-2017:3463)	Nessus	Red Hat Local Security Checks	2017/12/19	2025/4/15	critical
260865	Linux Distros 未修补的漏洞：CVE-2017-15042	Nessus	Misc.	2025/9/3	2025/9/3	medium
127229	NewStart CGSL CORE 5.04 / MAIN 5.04：golang 多个漏洞 (NS-SA-2019-0047)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/8	critical
109690	Amazon Linux 2：golang (ALAS-2018-1011)	Nessus	Amazon Linux Local Security Checks	2018/5/11	2024/10/9	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

medium

critical

critical