The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:4930-1 advisory.

  - A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response     body to read many more bytes from the network than are in the body. A malicious HTTP client can further     exploit this to cause a server to automatically read a large amount of data (up to about 1GiB) when a     handler fails to read the entire body of a request. Chunk extensions are a little-used HTTP feature which     permit including additional metadata in a request or response body sent using the chunked encoding. The     net/http chunked encoding reader discards this metadata. A sender can exploit this by inserting a large     metadata segment with each byte transferred. The chunk reader now produces an error if the ratio of real     body to encoded bytes grows too small. (CVE-2023-39326)

  - On Windows, The IsLocal function does not correctly detect reserved device names in some cases. Reserved     names followed by spaces, such as COM1 , and reserved names COM and LPT followed by superscript 1,     2, or 3, are incorrectly reported as local. With fix, IsLocal now correctly reports these names as non-     local. (CVE-2023-45284)

  - Using go get to fetch a module with the .git suffix may unexpectedly fallback to the insecure git://     protocol if the module is unavailable via the secure https:// and git+ssh:// protocols, even if     GOINSECURE is not set for said module. This only affects users who are not using the module proxy and are     fetching modules directly (i.e. GOPROXY=off). (CVE-2023-45285)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 39 ホストには、FEDORA-2024-193547def8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - サフィックスが .git のモジュールを取得するために go get を使用すると、そのモジュールに GOINSECURE が設定されていなくても、安全な https: // および git+ssh: // プロトコルでそのモジュールを利用できない場合、予期せず安全でない git:// プロトコルにフォールバックすることがあります。これは、モジュール proxy を使用せずモジュールを直接フェッチしている (つまり GOPROXY=off) ユーザーのみに影響します。(CVE-2023-45285)

  - 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪意のある HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - go get を使用して .git サフィックスのモジュールをフェッチすると、安全な https:// および git+ssh:// プロトコルを介してモジュールを利用できない場合 (そのモジュールに対して GOINSECURE が設定されていない場合でも)、安全でない git:// プロトコルへ予期せぬフォールバックが発生する可能性があります。これは、モジュール proxy を使用せずモジュールを直接フェッチしている (つまり GOPROXY=off) ユーザーのみに影響します。(CVE-2023-45285)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4709-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪意のある HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

  - Windows で、IsLocal 関数が予約されたデバイス名を正しく検出しないことがあります。COM1 のように、スペースが続く予約名や、COM や LPT の後に上付き文字が続く予約名は、誤ってローカルとして報告されます。修正により、IsLocal はこれらの名前を非ローカルとして正しく報告するようになりました。(CVE-2023-45284)

  - サフィックスが .git のモジュールを取得するために go get を使用すると、そのモジュールに GOINSECURE が設定されていなくても、安全な https: // および git+ssh: // プロトコルでそのモジュールを利用できない場合、予期せず安全でない git:// プロトコルにフォールバックすることがあります。これは、モジュール proxy を使用せずモジュールを直接フェッチしている (つまり GOPROXY=off) ユーザーのみに影響します。(CVE-2023-45285)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4930-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪意のある HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

  - Windows で、IsLocal 関数が予約されたデバイス名を正しく検出しないことがあります。COM1 のように、スペースが続く予約名や、COM や LPT の後に上付き文字が続く予約名は、誤ってローカルとして報告されます。修正により、IsLocal はこれらの名前を非ローカルとして正しく報告するようになりました。(CVE-2023-45284)

  - サフィックスが .git のモジュールを取得するために go get を使用すると、そのモジュールに GOINSECURE が設定されていなくても、安全な https: // および git+ssh: // プロトコルでそのモジュールを利用できない場合、予期せず安全でない git:// プロトコルにフォールバックすることがあります。これは、モジュール proxy を使用せずモジュールを直接フェッチしている (つまり GOPROXY=off) ユーザーのみに影響します。(CVE-2023-45285)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:4708-1 advisory.

  - A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response     body to read many more bytes from the network than are in the body. A malicious HTTP client can further     exploit this to cause a server to automatically read a large amount of data (up to about 1GiB) when a     handler fails to read the entire body of a request. Chunk extensions are a little-used HTTP feature which     permit including additional metadata in a request or response body sent using the chunked encoding. The     net/http chunked encoding reader discards this metadata. A sender can exploit this by inserting a large     metadata segment with each byte transferred. The chunk reader now produces an error if the ratio of real     body to encoded bytes grows too small. (CVE-2023-39326)

  - On Windows, The IsLocal function does not correctly detect reserved device names in some cases. Reserved     names followed by spaces, such as COM1 , and reserved names COM and LPT followed by superscript 1,     2, or 3, are incorrectly reported as local. With fix, IsLocal now correctly reports these names as non-     local. (CVE-2023-45284)

  - Using go get to fetch a module with the .git suffix may unexpectedly fallback to the insecure git://     protocol if the module is unavailable via the secure https:// and git+ssh:// protocols, even if     GOINSECURE is not set for said module. This only affects users who are not using the module proxy and are     fetching modules directly (i.e. GOPROXY=off). (CVE-2023-45285)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:4931-1 advisory.

  - A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response     body to read many more bytes from the network than are in the body. A malicious HTTP client can further     exploit this to cause a server to automatically read a large amount of data (up to about 1GiB) when a     handler fails to read the entire body of a request. Chunk extensions are a little-used HTTP feature which     permit including additional metadata in a request or response body sent using the chunked encoding. The     net/http chunked encoding reader discards this metadata. A sender can exploit this by inserting a large     metadata segment with each byte transferred. The chunk reader now produces an error if the ratio of real     body to encoded bytes grows too small. (CVE-2023-39326)

  - On Windows, The IsLocal function does not correctly detect reserved device names in some cases. Reserved     names followed by spaces, such as COM1 , and reserved names COM and LPT followed by superscript 1,     2, or 3, are incorrectly reported as local. With fix, IsLocal now correctly reports these names as non-     local. (CVE-2023-45284)

  - Using go get to fetch a module with the .git suffix may unexpectedly fallback to the insecure git://     protocol if the module is unavailable via the secure https:// and git+ssh:// protocols, even if     GOINSECURE is not set for said module. This only affects users who are not using the module proxy and are     fetching modules directly (i.e. GOPROXY=off). (CVE-2023-45285)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:1041 advisory.

    Go Toolset provides the Go programming language tools and libraries. Go is alternatively known as golang.

    Security Fix(es):

    * golang: net/http/internal: Denial of Service (DoS) via Resource Consumption via HTTP requests     (CVE-2023-39326)

    * golang: cmd/go: Protocol Fallback when fetching modules (CVE-2023-45285)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

According to the versions of the golang packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response     body to read many more bytes from the network than are in the body. A malicious HTTP client can further     exploit this to cause a server to automatically read a large amount of data (up to about 1GiB) when a     handler fails to read the entire body of a request. Chunk extensions are a little-used HTTP feature which     permit including additional metadata in a request or response body sent using the chunked encoding. The     net/http chunked encoding reader discards this metadata. A sender can exploit this by inserting a large     metadata segment with each byte transferred. The chunk reader now produces an error if the ratio of real     body to encoded bytes grows too small. (CVE-2023-39326)

  - Using go get to fetch a module with the '.git' suffix may unexpectedly fallback to the insecure 'git://'     protocol if the module is unavailable via the secure 'https://' and 'git+ssh://' protocols, even if     GOINSECURE is not set for said module. This only affects users who are not using the module proxy and are     fetching modules directly (i.e. GOPROXY=off). (CVE-2023-45285)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

An update of the go package has been released.

The remote host is affected by the vulnerability described in GLSA-202408-07 (Go: Multiple Vulnerabilities)

    Multiple vulnerabilities have been discovered in Go. Please review the CVE identifiers referenced below     for details.

Tenable has extracted the preceding description block directly from the Gentoo Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
187146	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : go1.20-openssl (SUSE-SU-2023:4930-1)	Nessus	SuSE Local Security Checks	2023/12/21	2023/12/21	high
189248	Fedora 39 : golang (2024-193547def8)	Nessus	Fedora Local Security Checks	2024/1/19	2024/11/14	high
227406	Linux Distros のパッチ未適用の脆弱性: CVE-2023-45285	Nessus	Misc.	2025/3/5	2025/8/30	high
186815	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: go1.21 (SUSE-SU-2023:4709-1)	Nessus	SuSE Local Security Checks	2023/12/13	2023/12/15	high
187146	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: go1.20-openssl (SUSE-SU-2023:4930-1)	Nessus	SuSE Local Security Checks	2023/12/21	2023/12/21	high
186744	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : go1.20 (SUSE-SU-2023:4708-1)	Nessus	SuSE Local Security Checks	2023/12/12	2023/12/13	high
187139	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : go1.21-openssl (SUSE-SU-2023:4931-1)	Nessus	SuSE Local Security Checks	2023/12/21	2023/12/21	high
191431	RHEL 7 : go-toolset-1.19-golang (RHSA-2024:1041)	Nessus	Red Hat Local Security Checks	2024/2/29	2024/11/7	high
191982	EulerOS 2.0 SP10 : golang (EulerOS-SA-2024-1313)	Nessus	Huawei Local Security Checks	2024/3/12	2024/3/12	high
204248	Photon OS 5.0: Go PHSA-2023-5.0-0176	Nessus	PhotonOS Local Security Checks	2024/7/24	2024/7/24	high
205144	GLSA-202408-07 : Go: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2024/8/7	2024/8/7	critical

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

critical