This update for go1.13 fixes the following issues :

  - go1.13.14 (released 2020/07/16) includes fixes to the     compiler, vet, and the database/sql, net/http, and     reflect packages Refs bsc#1149259 go1.13 release     tracking

  - go#39925 net/http: panic on misformed If-None-Match     Header with http.ServeContent

  - go#39848 cmd/compile: internal compile error when using     sync.Pool: mismatched zero/store sizes

  - go#39823 cmd/go: TestBuildIDContainsArchModeEnv/386     fails on linux/386 in Go 1.14 and 1.13, not 1.15

  - go#39697 reflect: panic from malloc after MakeFunc     function returns value that is also stored globally

  - go#39561 cmd/compile/internal/ssa:
    TestNexting/dlv-dbg-hist failing on linux-386-longtest     builder because it tries to use an older version of dlv     which only supports linux/amd64

  - go#39538 net: TestDialParallel is flaky on     windows-amd64-longtest

  - go#39287 cmd/vet: update for new number formats

  - go#40211 net/http: Expect 100-continue panics in     httputil.ReverseProxy bsc#1174153 CVE-2020-15586

  - go#40209 crypto/x509: Certificate.Verify method     seemingly ignoring EKU requirements on Windows     bsc#1174191 CVE-2020-14039 (Windows only)

  - go#38932 runtime: preemption in startTemplateThread may     cause infinite hang

  - go#36689 go/types, math/big: data race in go/types due     to math/big.Rat accessors unsafe for concurrent use

  - Add patch to ensure /etc/hosts is used if     /etc/nsswitch.conf is not present bsc#1172868     gh#golang/go#35305

This update was imported from the SUSE:SLE-15:Update update project.

- Rebase to go1.13.14

  - Security fix for CVE-2020-15586

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to the versions of the golang packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - Go before 1.13.13 and 1.14.x before 1.14.5 has a data     race in some net/http servers, as demonstrated by the     httputil.ReverseProxy Handler, because it reads a     request body and writes a response at the same     time.(CVE-2020-15586)

  - Go before 1.12.10 and 1.13.x before 1.13.1 allow HTTP     Request Smuggling.(CVE-2019-16276)

  - Go before 1.12.11 and 1.3.x before 1.13.2 can panic     upon an attempt to process network traffic containing     an invalid DSA public key. There are several attack     scenarios, such as traffic from a client to a server     that verifies client certificates.(CVE-2019-17596)

  - Go before 1.12.16 and 1.13.x before 1.13.7 (and the     crypto/cryptobyte package before     0.0.0-20200124225646-8b5121be2f68 for Go) allows     attacks on clients (resulting in a panic) via a     malformed X.509 certificate.(CVE-2020-7919)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to the versions of the golang packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - Go before 1.13.13 and 1.14.x before 1.14.5 has a data     race in some net/http servers, as demonstrated by the     httputil.ReverseProxy Handler, because it reads a     request body and writes a response at the same     time.(CVE-2020-15586)

  - Go before 1.8.7, Go 1.9.x before 1.9.4, and Go 1.10     pre-releases before Go 1.10rc2 allow 'go get' remote     command execution during source code build, by     leveraging the gcc or clang plugin feature, because
    -fplugin= and -plugin= arguments were not     blocked.(CVE-2018-6574)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

根据其自我报告的版本号，远程主机上安装的 JFrog Artifactory 版本低于 6.23.0。因此，该应用程序受到多个漏洞的影响：

  - SnakeYAML 1.18 中的别名功能允许在加载操作期间扩展实体。(CVE-2017-18640)

  - 遇到特别构建的输入时，Apache Commons Compress 1.15 至 1.18 内部使用的文件名编码算法可进入无限循环。如果攻击者可选择 Compress 创建的存档中的文件名，则可导致拒绝服务攻击。(CVE-2019-12402)

  - 在版本 3.6.2 之前和 3.7.1 之前的版本 3.7.0 Atlassian Crowd 中，OpenID 客户端应用程序允许远程攻击者通过 XML 实体扩展漏洞发起拒绝服务攻击。(CVE-2019-20104)

  - 在 Go 1.13.13 之前的版本以及 1.14.x 之前的 1.14.5 版本中，某些 net/http 服务器中存在数据争用（httputil.ReverseProxy 处理程序即为一例），因为它同时读取请求主体并写入响应。(CVE-2020-15586)

  - 未按照适用于 Native Apps 的 OAuth 2.0 的 RFC 实现 PKCE 支持。如果没有使用 PKCE，攻击者可通过在客户端上使用恶意应用程序来获取授权代码，并用其获得受保护资源的授权。(CVE-2020-7692)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-3665 公告中提及的多个漏洞的影响。

  - 在版本早于 1.13.15 或为 1.14.7 之前的 14.x 的 Go 内，encoding/binary 的 ReadUvarint 和 ReadVarint 中可能存在由无效输入造成的无限读取循环。(CVE-2020-16845)

  - 版本低于 0.3.3 for Go 的 x/text 程序包的 encoding/unicode 中存在漏洞，可导致 UTF-16 解码器进入无限循环，进而造成程序崩溃或内存不足。如果 Decoder 上的 String 函数得到调用，或 Decoder 被传递到 golang.org/x/text/transform.String，攻击者可向使用 UseBOM 或 ExpectBOM 实例化的 UTF16 解码器提供单字节，以触发无限循环。(CVE-2020-14040)

  - 如 httputil.ReverseProxy Handler 所示，在版本早于 1.13.13 或为 1.14.5 之前的 1.14.x 的 Go 内，某些 net/http 服务器中存在数据争用，因其同时读取请求主体并写入响应。
    (CVE-2020-15586)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的程序包受到 RHSA-2021: 0172 公告提及的多个漏洞的影响。

  - golang：某些 net/http 服务器（包括 ReverseProxy）中的数据争用可导致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可以从无效输入中读取无限数量的字节 (CVE-2020-16845)

  - golang：math/big：在极大数递归拆分期间发生的错误 (CVE-2020-28362)

  - kubernetes：当文件格式错误且 loglevel> = 4 时，Docker 配置机密泄露 (CVE-2020-8564)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Go 编程语言的实现中发现多个安全问题，这些问题可导致拒绝服务，并且 P-224 曲线实现可生成错误输出。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 1366 公告中提及的多个漏洞的影响。

  - golang：某些 net/http 服务器（包括 ReverseProxy）中的数据争用可导致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可以从无效输入中读取无限数量的字节 (CVE-2020-16845)

  - golang：math/big：在极大数递归拆分期间发生的错误 (CVE-2020-28362)

  - golang：crypto/elliptic：P-224 曲线操作错误 (CVE-2021-3114)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 3665 公告中提及的多个漏洞的影响。

  - golang.org/x/text：在编码/unicode 中触发无限循环的可能性会导致崩溃 (CVE-2020-14040)

  - golang：某些 net/http 服务器（包括 ReverseProxy）中的数据争用可导致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可以从无效输入中读取无限数量的字节 (CVE-2020-16845)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的程序包受到 RHSA-2020: 4297 公告中提及的多个漏洞的影响。

  - jenkins-jira-plugin：插件信息泄露 (CVE-2019-16541)

  - golang.org/x/text: 在编码/unicode 中触发无限循环的可能性会导致崩溃 (CVE-2020-14040)

  - podman：通过 Varlink 或兼容 Docker 的 REST API 启动时，容器之间的环境变量泄漏 (CVE-2020-14370)

  - golang：某些 net/http 服务器（包括 ReverseProxy）中的数据争用可导致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可以从无效输入中读取无限数量的字节 (CVE-2020-16845)

  - jenkins-2-plugins/mailer: Mailer Plugin 中缺少主机名验证可造成 MITM (CVE-2020-2252)

  - jenkins-2-plugins/blueocean: Blue Ocean Plugin 中的路径遍历漏洞可允许读取任意文件 (CVE-2020-2254)

  - jenkins-2-plugins/blueocean: Blue Ocean Plugin 不会在实施连接测试的多个 HTTP 端点中执行权限检查。(CVE-2020-2255)

  - kubernetes：当文件格式错误且 loglevel> = 4 时，Docker 配置机密泄露 (CVE-2020-8564)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
139020	openSUSE Security Update : go1.13 (openSUSE-2020-1095)	Nessus	SuSE Local Security Checks	2020/7/28	2020/7/30	medium
139107	Fedora 31 : golang (2020-d75360e2b0)	Nessus	Fedora Local Security Checks	2020/7/30	2024/2/27	medium
139134	EulerOS 2.0 SP8 : golang (EulerOS-SA-2020-1804)	Nessus	Huawei Local Security Checks	2020/7/30	2024/2/27	high
140845	EulerOS 2.0 SP3 : golang (EulerOS-SA-2020-2078)	Nessus	Huawei Local Security Checks	2020/9/28	2024/2/19	high
147722	JFrog < 6.23.0 多个漏洞	Nessus	Misc.	2021/3/12	2024/1/9	critical
140524	Oracle Linux 8：go-toolset: ol8 (ELSA-2020-3665)	Nessus	Oracle Linux Local Security Checks	2020/9/11	2024/11/1	high
145406	RHEL 7 / 8：OpenShift Container Platform 4.6.13 程序包和 (RHSA-2021: 0172)	Nessus	Red Hat Local Security Checks	2021/1/25	2024/11/7	medium
146371	Debian DSA-4848-1：golang-1.11 - 安全更新	Nessus	Debian Local Security Checks	2021/2/10	2021/2/12	medium
149258	RHEL 8：OpenShift Container Platform 4.7.9 程序包和 (RHSA-2021: 1366)	Nessus	Red Hat Local Security Checks	2021/5/5	2024/11/7	medium
145887	CentOS 8：go-toolset: rhel8 (CESA-2020: 3665)	Nessus	CentOS Local Security Checks	2021/2/1	2023/2/8	high
142002	RHEL 7 / 8：OpenShift Container Platform 4.6.1 程序包 (RHSA-2020: 4297)	Nessus	Red Hat Local Security Checks	2020/10/28	2024/11/7	critical

检测

插件搜索

medium

medium

high

high

critical

high

medium

medium

medium

high

critical