Several vulnerabilities were discovered in the Go programming language. An attacker could trigger a denial of service (DoS), bypasss access control, and execute arbitrary code on the developer's computer.

CVE-2017-15041

Go allows 'go get' remote command execution. Using custom domains, it is possible to arrange things so that example.com/pkg1 points to a Subversion repository but example.com/pkg1/pkg2 points to a Git repository. If the Subversion repository includes a Git checkout in its pkg2 directory and some other work is done to ensure the proper ordering of operations, 'go get' can be tricked into reusing this Git checkout for the fetch of code from pkg2. If the Subversion repository's Git checkout has malicious commands in .git/hooks/, they will execute on the system running 'go get.'

CVE-2018-16873

The 'go get' command is vulnerable to remote code execution when executed with the -u flag and the import path of a malicious Go package, as it may treat the parent directory as a Git repository root, containing malicious configuration.

CVE-2018-16874

The 'go get' command is vulnerable to directory traversal when executed with the import path of a malicious Go package which contains curly braces (both '{' and '}' characters). The attacker can cause an arbitrary filesystem write, which can lead to code execution.

CVE-2019-9741

In net/http, CRLF injection is possible if the attacker controls a url parameter, as demonstrated by the second argument to http.NewRequest with \r\n followed by an HTTP header or a Redis command.

CVE-2019-16276

Go allows HTTP Request Smuggling.

CVE-2019-17596

Go can panic upon an attempt to process network traffic containing an invalid DSA public key. There are several attack scenarios, such as traffic from a client to a server that verifies client certificates.

CVE-2021-3114

crypto/elliptic/p224.go can generate incorrect outputs, related to an underflow of the lowest limb during the final complete reduction in the P-224 field.

For Debian 9 stretch, these problems have been fixed in version 1.7.4-2+deb9u3.

We recommend that you upgrade your golang-1.7 packages.

For the detailed security status of golang-1.7 please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/golang-1.7

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Redhat Enterprise Linux 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2021:4226 advisory.

    Grafana is an open source, feature rich metrics dashboard and graph editor for Graphite, InfluxDB &     OpenTSDB.

    The following packages have been upgraded to a later upstream version: grafana (7.5.9). (BZ#1921191)

    Security Fix(es):

    * golang: crypto/elliptic: incorrect operations on the P-224 curve (CVE-2021-3114)

    * grafana: snapshot feature allow an unauthenticated remote attacker to trigger a DoS via a remote API     call (CVE-2021-27358)

    * golang: net: lookup functions may return invalid host names (CVE-2021-33195)

    * golang: net/http/httputil: ReverseProxy forwards connection headers if first one is empty     (CVE-2021-33197)

    * golang: crypto/tls: certificate of wrong type is causing TLS client to panic (CVE-2021-34558)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    Additional Changes:

    For detailed information on changes in this release, see the Red Hat Enterprise Linux 8.5 Release Notes     linked from the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the ELSA-2021-4226 advisory.

    - resolve CVE-2021-39226
    - rebuild to resolve CVE-2021-34558

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Go 1.14.14 之前以及 1.15.7 之前的 1.15.x 版本中，在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。
    (CVE-2021-3114)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机受到 GLSA-202208-02 中所述漏洞的影响（Go：多个漏洞）

  - 1.14.12 之前的 Go 和 1.15.5 之前的 1.15.x 允许代码注入。(CVE-2020-28366)

  - 1.14.12 之前的 Go 和 1.15.5 之前的 1.15.x 允许参数注入。(CVE-2020-28367)

  - 如果自定义 TokenReader（针对 xml.NewTokenDecoder）在元素中间返回 EOF，则低于 1.15.9 的 Go 和低于 1.16.1 的 1.16.x 中的 encoding/xml 会出现无限循环。此问题会发生在 Decode、DecodeElement 或 Skip 方法中。(CVE-2021-27918)

  - 在 Go 1.16.x 的 1.16.1 之前版本中，archive/zip 允许攻击者在对任何文件名开头出现 ../ 的 ZIP 存档尝试使用 Reader.Open API 时造成程序拒绝服务（发生错误）。(CVE-2021-27919)

  - Go 1.17 之前版本未正确考虑 IP 地址八进制开头的无关零字符，由于非预期的八进制解释，这（在某些情况下）允许攻击者绕过基于 IP 地址的访问控制。这影响 net.ParseIP 和 net.ParseCIDR。(CVE-2021-29923)

  - 在 Go 1.14.14 之前以及 1.15.7 之前的 1.15.x 版本中，在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。
    (CVE-2021-3114)

  - 当使用 go get 命令提取使用 cgo 的模块时（例如，cgo 可通过不受信任的下载执行 gcc 程序），Windows 上的 Go 1.14.14 之前以及 1.15.7 之前的 1.15.x 班版本容易受到命令注入和远程代码执行的影响。(CVE-2021-3115)

  - 在 1.15.12 之前的 Go 和 1.16.4 之前的 Go 1.16.x 中，net/http 允许远程攻击者通过 ReadRequest 或 ReadResponse 的大型标头造成拒绝服务（错误）。某些配置中的服务器、传输和客户端均有可能受到影响。(CVE-2021-31525)

  - 在低于 1.15.13 的 Go 版本以及低于 1.16.5 的 1.16.x 版本中，用于 DNS 查找的函数未验证来自 DNS 服务器的回复，因此返回值可能包含不符合 RFC1035 格式的不安全注入（例如 XSS）。(CVE-2021-33195)

  - Go 1.15.13 之前版本和 1.16.x 的 1.16.5 之前版本中，归档/zip 中特制的文件数（在归档的标头内）可能会造成 NewReader 或 OpenReader 错误。(CVE-2021-33196)

  - 在 Go 语言 1.15.13 版本前以及 1.16.5 之前的 1.16.x 版本中，反向代理的部分配置（来自 net/http/httputil）导致攻击者能够终止任意标头。
    (CVE-2021-33197)

  - 在 Go 语言 1.15.13 版本前以及 1.16.5 之前的 1.16.x 版本中，大指数 math/big.Rat SetString 或 UnmarshalText 方法可能会出现错误。 (CVE-2021-33198)

  - 在 Go 1.16.5 版以及之前的所有版本中，crypto/tls 程序包在执行基于 RSA 的密钥交换时，未正确断言 X.509 证书中的公钥类型符合预期类型，恶意 TLS 服务器会借此造成 TLS 客户端错误。(CVE-2021-34558)

  - 在低于 1.15.15 的 Go 版本和低于 1.16.7 的 1.16.x 版本中存在争用条件，可在 ErrAbortHandler 中止时导致 net/http/httputil ReverseProxy 错误。(CVE-2021-36221)

  - 在 Go 1.16.9 之前版本以及 Go 1.17.x 至 1.17.2 版本中使用 GOARCH=wasm GOOS=js 时，通过大型参数从 WASM 模块调用函数会产生缓冲区溢出问题。(CVE-2021-38297)

  - 1.16.10 之前的 Go 版本和 1.17.3 之前的 Go 1.17.x 版本的 debug/macho（适用于 Open 或 OpenFat）中的 ImportedSymbols 会访问缓冲区末尾之后的内存位置，此情况也称为“越界切片”。
    (CVE-2021-41771)

  - Go 1.16.10 之前版本以及 Go 1.17.x 至 1.17.3 版本允许通过构建具有无效名称或空文件名字段的 ZIP 存档来造成 archive/zip Reader.Open 故障。(CVE-2021-41772)

  - 在 1.16.12 版之前的 Go 和 1.17.x 版之前的 Go 1.17.5 中，net/http 允许通过 HTTP/2 请求在标头规范化缓存中消耗不受控制的内存。(CVE-2021-44716)

  - 在 UNIX 上，1.16.12 之前的 Go 版本和 1.17.5 之前的 Go 1.17.x 版本允许对非预期文件或非预期网络连接执行写入操作，原因是在文件描述符耗尽后错误关闭文件描述符 0。(CVE-2021-44717)

  - Go 1.16.14 之前版本以及 Go 1.17.x 至 1.17.7 版本的 math/big 的 Rat.SetString 中存在溢出漏洞，该漏洞可能导致不受控制的内存消耗问题。(CVE-2022-23772)

  - Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中的 cmd/go 可能会错误地将分支名称解读为版本标记。如果执行者能够创建分支但不能创建标签，则这可能导致错误控制访问权限。(CVE-2022-23773)

  - Go 1.16.14 之前版本以及 Go 1.17.x 至 1.17.7 版本的 crypto/elliptic 中的 Curve.IsOnCurve 在 big.Int 值不是有效字段元素的情况下，可能会错误地返回 true。(CVE-2022-23806)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允许通过大量 PEM 数据造成解码堆栈溢出。(CVE-2022-24675)

  - Go 1.16.15 之前版本以及 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允许通过深度嵌套的表达式耗尽堆栈。(CVE-2022-24921)

  - 在 Go 1.18.x 版的 1.18.1 之前版本中，当提供某些格式错误的证书时， crypto/x509 中的 Certificate.Verify 可能会在 macOS 上造成错误。这允许远程 TLS 服务器造成 TLS 客户端错误。(CVE-2022-27536)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的通用 P-256 特征允许通过长标量输入造成错误。(CVE-2022-28327)

  - Go 在 1.17.10 之前的版本和在 1.18.2 之前的 1.18.x 版本中权限分配不正确。当使用非零标记参数调用时，Faccessat 函数可能错误地报告文件可访问。
    (CVE-2022-29526)

  - golang：net/http：未正确审查 Transfer-Encoding 标头 (CVE-2022-1705)

  - golang：encoding/xml：Decoder.Skip 中的堆栈耗尽问题 (CVE-2022-28131)

  - grafana-8.5.6-1.fc37 的自动更新。 ##### **变更日志** `` * 2022 年 6 月 29 日星期三 Andreas Gerstmayr <agerstmayr@redhat.com> 8.5.6-1 - 更新标记 8.5.6 的上游社区源代码，请参阅变更日志 - 已更新 AGPLv3 的授权 - 将带注释的示例配置文件放在 /etc/grafana/grafana.ini 中 - 在构建进程中启用 Go 模块 - 根据 yarn v3 和 Zero Install 功能调整 Node.js bundling * Sun 2022 年 6 月 19 日 Robert-Andr Mauchin <zebob.m@gmail.com> - 7.5.15-3 - 针对 CVE-2022-1996、CVE-2022-24675、CVE-2022-28327、CVE-2022-27191、 CVE-2022-29526、CVE-2022-30629 重新构建`` (CVE-2022-30629)

  - golang：io/fs：Glob 中的堆栈耗尽问题 (CVE-2022-30630)

  - golang：compress/gzip：Reader.Read 中的堆栈耗尽问题 (CVE-2022-30631)

  - golang：path/filepath：Glob 中的堆栈耗尽问题 (CVE-2022-30632)

  - golang：encoding/xml：Unmarshal 中的堆栈耗尽问题 (CVE-2022-30633)

  - golang：encoding/gob：Decoder.Decode 中的堆栈耗尽问题 (CVE-2022-30635)

  - golang：net/http/httputil：NewSingleHostReverseProxy - 省略 X-Forwarded-For 不起作用 (CVE-2022-32148)

  -  Go 项目报告：encoding/gob 和 math/big：解码 big.Float 和 big.Rat 可能发生错误。如果编码的消息太短，解码 big.Float 和 big.Rat 类型可能发生错误。
    (CVE-2022-32189)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7/8 主机上安装的多个程序包受到 RHSA-2021:4103 公告中提及的多个漏洞影响。

  - golang：某些 net/http 服务器（包括 ReverseProxy）中的数据争用可能导致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可从无效输入中读取无限量字节 (CVE-2020-16845)

  - golang: crypto/elliptic：P-224 曲线操作错误 (CVE-2021-3114)

  - golang: net/http：读取极大标头时，ReadRequest 和 ReadResponse 中发生错误 (CVE-2021-31525)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2022: 0308 公告中存在的多个漏洞影响。

  - golang：crypto/elliptic：P-224 曲线操作错误 (CVE-2021-3114)

  - golang：net/http：读取极大标头时，ReadRequest 和 ReadResponse 中会发生错误 (CVE-2021-31525)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 4226 公告中提及的多个漏洞影响。

  - grafana：快照功能允许未经身份验证的远程攻击者通过远程 API 调用触发 DoS (CVE-2021-27358)

  - golang：crypto/elliptic：P-224 曲线操作错误 (CVE-2021-3114)

  - golang：net: lookup 函数可能返回无效的主机名 (CVE-2021-33195)

  - golang：net/http/httputil：如果第一个标头为空，则 ReverseProxy 会转发连接标头 (CVE-2021-33197)

  - golang：crypto/tls：类型错误的证书导致 TLS 客户端错误 (CVE-2021-34558)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-4226 公告中提及的多个漏洞的影响。

  - 在 Go 1.14.14 之前以及 1.15.7 之前的 1.15.x 版本中，在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。
    (CVE-2021-3114)

  - 在 Go 1.16.5 版以及之前的所有版本中，crypto/tls 程序包在执行基于 RSA 的密钥交换时，未正确断言 X.509 证书中的公钥类型符合预期类型，恶意 TLS 服务器会借此造成 TLS 客户端错误。(CVE-2021-34558)

  - 在低于 1.15.13 的 Go 版本以及低于 1.16.5 的 1.16.x 版本中，用于 DNS 查找的函数未验证来自 DNS 服务器的回复，因此返回值可能包含不符合 RFC1035 格式的不安全注入（例如 XSS）。(CVE-2021-33195)

  - Grafana 6.7.3 至 7.4.1 中存在快照功能，如果已设置常用配置，未经身份验证的远程攻击者可利用此漏洞，通过远程 API 调用触发拒绝服务。
    (CVE-2021-27358)

  - 在 Go 语言 1.15.13 版本前以及 1.16.5 之前的 1.16.x 版本中，反向代理的部分配置（来自 net/http/httputil）导致攻击者能够终止任意标头。
    (CVE-2021-33197)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

在 Go 编程语言中发现多个漏洞。攻击者可触发拒绝服务 (DoS)、绕过访问控制，并在开发人员的计算机上执行任意代码。

CVE-2017-15041

Go 允许执行“go get”远程命令。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。

CVE-2018-16873

使用 -u 标记和恶意 Go 程序包的导入路径执行时，“go get”命令容易受到远程代码执行漏洞的影响，这是因为它可能将父目录视为包含恶意配置的 Git 存储库根。

CVE-2018-16874

“go get”命令在使用含有大括号（“{’ 和 ‘}”字符）的恶意 Go 程序包导入路径执行时，容易受到目录遍历影响。攻击者可造成任意文件系统写入，进而可能导致代码执行。

CVE-2019-9741

在 net/http 中，若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 http.NewRequest 的第二个参数，随后是 HTTP 标头或 Redis 命令即为一例。

CVE-2019-16276

Go 允许 HTTP 请求走私。

CVE-2019-17596

在尝试处理包含无效 DSA 公钥的网络流量时，Go 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。

CVE-2021-3114

在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。

对于 Debian 9 Stretch，已在版本 1.7.4-2+deb9u3 中修复这些问题。

我们建议您升级 golang-1.7 程序包。

如需了解 golang-1.7 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-1.7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-1746 公告中提及的多个漏洞的影响。

  - 当使用 go get 命令提取使用 cgo 的模块时（例如，cgo 可通过不受信任的下载执行 gcc 程序），Windows 上的 Go 1.14.14 之前以及 1.15.7 之前的 1.15.x 班版本容易受到命令注入和远程代码执行的影响。(CVE-2021-3115)

  - 在 Go 1.14.14 之前以及 1.15.7 之前的 1.15.x 版本中，在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。
    (CVE-2021-3114)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本中，crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。
    (CVE-2021-3114)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機受到 GLSA-202208-02 中所述的弱點影響 (Go：多個弱點)

  - Go 1.14.12 之前版本以及 1.15.5 之前的 1.15.x 版本允許發生程式碼插入攻擊。(CVE-2020-28366)

  - Go 1.14.12 之前版本以及 1.15.5 之前的 1.15.x 版本允許發生引數插入攻擊。(CVE-2020-28367)

  - 在 Go 1.15.9 版和 1.16.x 版的 1.16.1 之前版本中，如果自訂 TokenReader (對於 xml.NewTokenDecoder) 在元件中間返回 EOF，則 encoding/xml 會發生無限迴圈。Decode、DecodeElement 或 Skip 方法中皆可發生此問題。(CVE-2021-27918)

  - 在 Go 1.16.1 之前的 1.16.x 版本中，archive/zip 允許攻擊者在針對任何檔案名稱開頭出現 ../ 的 ZIP 封存嘗試使用 Reader.Open API 時，造成程式拒絕服務 (發生錯誤)。(CVE-2021-27919)

  - Go 1.17 之前版本未正確考量 IP 位址八位元組開頭的無關零字元，由於非預期的八進位轉譯，這 (在某些情況下) 允許攻擊者繞過以 IP 位址為基礎的存取控制。這會影響 net.ParseIP 和 net.ParseCIDR。(CVE-2021-29923)

  - 在 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本中，crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。
    (CVE-2021-3114)

  - Windows 上的 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本在使用 go get 命令擷取利用 CGO 的模組時 (例如，CGO 可以從不受信任的下載來源執行 GCC 程序)，很容易受到命令插入和遠端程式碼執行攻擊。(CVE-2021-3115)

  - 1.15.12 版之前的 net/http (在 Go 中) 和 1.16.4 版之前的 1.16.x 允許遠端攻擊者透過傳送至 ReadRequest 或 ReadResponse 的大形標頭，以引發拒絕服務 (不穩定)。伺服器、傳輸和用戶端在某些組態中都會受到影響。(CVE-2021-31525)

  - 1.15.13 之前的 Go 和 1.16.5 之前的 1.16.x 具有不驗證來自 DNS 伺服器的回覆的 DNS 查閱函式，因此傳回值可能包含不符合 RFC1035 格式的不安全插入 (例如 XSS)。(CVE-2021-33195)

  - 在 Go 1.15.13 版和 1.16.x 的 1.16.5 之前版本中，封存/ZIP 中特製的檔案數（在封存的標頭中）可能會導致 NewReader 或 OpenReader 錯誤。(CVE-2021-33196)

  - 在 1.15.13 版之前的 Go 和 1.16.5 版之前的 1.16.x，攻擊者可以利用 ReverseProxy 的一些配置 (來自 net/http/httputil) 插入任意標頭。
    (CVE-2021-33197)

  - 在 1.15.13 版之前的 Go 和 1.16.x 版之前的 1.16.5，大量使用 math/big.Rat SetString 或 UnmarshalText 方法可能會引起錯誤。(CVE-2021-33198)

  - 在 Go 1.16.5 版以及之前的所有版本中，crypto/tls 套件在進行 RSA 型金鑰交換時，未正確宣告 X.509 憑證中的公開金鑰類型符合預期類型，惡意 TLS 伺服器會藉此造成 TLS 用戶端不穩定。(CVE-2021-34558)

  - 1.15.15 之前的版本和 1.16.7 之前的 1.16.x 存在一個爭用情形，可導致 ErrAbortHandler 中止時發生 net/http/httputil ReverseProxy 錯誤。(CVE-2021-36221)

  - 使用 GOARCH=wasm GOOS=js 時，Go 1.16.9 之前版本和 Go 1.17.x 至 1.17.2 版本會透過大型引數從 WASM 模組叫用函式來造成緩衝區溢位。(CVE-2021-38297)

  - 在早於 1.16.10 版的 Go 和早於 1.17.x 版的 Go 1.17.3 中，debug/macho (針對 Open 或 OpenFat) 中的 ImportedSymbols 會存取緩衝區結尾後的記憶體位置，此情形亦即「超出邊界分割」。
    (CVE-2021-41771)

  - Go 1.16.10 之前版本和 Go 1.17.x 至 1.17.3 版本允許透過建構包含無效名稱或空白檔案名稱欄位的 ZIP 封存造成 archive/zip Reader.Open 錯誤。(CVE-2021-41772)

  - 在早於 1.16.12 版的 Go 和早於 1.17.x 版的  Go 1.17.5 中，net/http 允許透過 HTTP/2 要求在標頭標準化快取中消耗不受控制的記憶體。(CVE-2021-44716)

  - 由於在檔案描述符號耗儘後錯誤關閉檔案描述符號 0，因此 UNIX 上早於 1.16.12 的 Go 版本和早於 1.17.x 的 Go 1.17.5 版本允許寫入非預定檔案或非預定網路連線。(CVE-2021-44717)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)

  - Go 1.16.15 之前版本和 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允許透過深度巢狀運算式造成堆疊耗盡。(CVE-2022-24921)

  - 在 Go 1.18.x 版的 1.18.1 之前版本中，當提供某些格式錯誤的憑證時，crypto/x509 中的 Certificate.Verify 可能會在 macOS 上發生錯誤，這允許遠端 TLS 伺服器造成 TLS 用戶端發生錯誤。(CVE-2022-27536)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)

  - 在 Go 1.17.10 之前版本和 1.18.2 之前的 1.18.x 版本中具有不正確的權限指派。使用非零旗標參數呼叫時，Faccessat 函式可能會錯誤報告檔案可供存取。
    (CVE-2022-29526)

  - golang：net/http：不當清理 Transfer-Encoding 標頭 (CVE-2022-1705)

  - golang：encoding/xml：Decoder.Skip 中的堆疊耗盡弱點 (CVE-2022-28131)

  - grafana-8.5.6-1.fc37 的自動更新。##### **變更記錄** ``` * 2022 年 6 月 29 日星期三 Andreas Gerstmayr <agerstmayr@redhat.com> 8.5.6-1 - 更新標記 8.5.6 的上游社群原始程式碼，請參閱變更記錄 - 已更新 AGPLv3 的授權 - 在 /etc/grafana/grafana.ini 中放置加註解的範例組態檔案 - 在構建程序中啟用 Go 模組 - 根據 yarn v3 和 Zero Install 功能調整 Node.js bundling * Sun 2022 年 6 月 19 日 Robert-Andr Mauchin <zebob.m@gmail.com> - 7.5.15-3 - 針對 CVE-2022-1996、CVE-2022-24675、CVE-2022-28327、CVE-2022-27191、CVE-2022-29526、CVE-2022-30629 重新構建``` (CVE-2022-30629)

  - golang：io/fs：Glob 中的堆疊耗盡弱點 (CVE-2022-30630)

  - golang：compress/gzip：Reader.Read 中的堆疊耗盡弱點 (CVE-2022-30631)

  - golang：path/filepath：Glob 中的堆疊耗盡弱點 (CVE-2022-30632)

  - golang：encoding/xml：Unmarshal 中的堆疊耗盡弱點 (CVE-2022-30633)

  - golang：encoding/gob：Decoder.Decode 中的堆疊耗盡弱點 (CVE-2022-30635)

  - golang：net/http/httputil：NewSingleHostReverseProxy - 省略 X-Forwarded-For 無法運作 (CVE-2022-32148)

  - Go 專案報告：encoding/gob 與 math/big：解碼 big.Float 和 big.Rat 可能會發生錯誤。如果編碼的訊息太短，則解碼 big.Float 和 big.Rat 類型可能會發生錯誤。
    (CVE-2022-32189)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-1746 公告中提及的多個弱點影響。

  - Windows 上的 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本在使用 go get 命令擷取利用 CGO 的模組時 (例如，CGO 可以從不受信任的下載來源執行 GCC 程序)，很容易受到命令插入和遠端程式碼執行攻擊。(CVE-2021-3115)

  - 在 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本中，crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。
    (CVE-2021-3114)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 / 8 主機上安裝的多個套件受到 RHSA-2021:4103 公告中提及的多個弱點影響。

  - golang：特定 net/http 伺服器中的資料爭用 (包括 ReverseProxy) 可導致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可從無效輸入讀取無限數量的位元組 (CVE-2020-16845)

  - golang: crypto/elliptic：P-224 曲線上的錯誤作業 (CVE-2021-3114)

  - golang: net/http：讀取非常大的標頭時，ReadRequest 和 ReadResponse 中會發生錯誤 (CVE-2021-31525)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2022: 0308 公告中提及的多個弱點影響。

  - golang：crypto/elliptic：P-224 曲線上的錯誤作業 (CVE-2021-3114)

  - golang：net/http：讀取非常大的標頭時，ReadRequest 和 ReadResponse 中會發生錯誤 (CVE-2021-31525)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 4226 公告中提及的多個弱點影響。

  - grafana：快照功能允許未經驗證的遠端攻擊者透過遠端 API 呼叫觸發 DoS (CVE-2021-27358)

  - golang：crypto/elliptic：P-224 曲線上的錯誤作業 (CVE-2021-3114)

  - golang：net：查詢函式可能傳回無效的主機名稱 (CVE-2021-33195)

  - golang：net/http/httputil：如果第一個標頭為空，ReverseProxy 會轉送連線標頭 (CVE-2021-33197)

  - golang：crypto/tls：憑證類型錯誤造成 TLS 用戶端不穩定 (CVE-2021-34558)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機上有一個套件受到 ELSA-2021-4226 公告中提及的多個弱點影響。

  - 在 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本中，crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。
    (CVE-2021-3114)

  - 在 Go 1.16.5 版以及之前的所有版本中，crypto/tls 套件在進行 RSA 型金鑰交換時，未正確宣告 X.509 憑證中的公開金鑰類型符合預期類型，惡意 TLS 伺服器會藉此造成 TLS 用戶端不穩定。(CVE-2021-34558)

  - 1.15.13 之前的 Go 和 1.16.5 之前的 1.16.x 具有不驗證來自 DNS 伺服器的回覆的 DNS 查閱函式，因此傳回值可能包含不符合 RFC1035 格式的不安全插入 (例如 XSS)。(CVE-2021-33195)

  - 如果已設定常用組態，Grafana 6.7.3 到 7.4.1 中的快照功能可能會允許未經驗證的遠端攻擊者透過遠端 API 呼叫觸發拒絕服務。
    (CVE-2021-27358)

  - 在 1.15.13 版之前的 Go 和 1.16.5 版之前的 1.16.x，攻擊者可以利用 ReverseProxy 的一些配置 (來自 net/http/httputil) 插入任意標頭。
    (CVE-2021-33197)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

在 Go 編程語言中發現數個弱點。攻擊者可觸發拒絕服務 (DoS)、略過存取控制，並在開發人員的電腦上執行任意程式碼。

CVE-2017-15041

Go 允許執行「go get」遠端命令。使用自訂網域時，可以藉由安排，將 example.com/pkg1 指向 Subversion 存放庫，而將 example.com/pkg1/pkg2 指向 Git 存放庫。如果 Subversion 存放庫在其 pkg2 目錄中含有 Git 簽出，而且完成了其他特定工作來確保作業的正確順序，則可以誘騙「go get」重複使用此 Git 簽出來擷取 pkg2 中的程式碼。如果 Subversion 存放庫的 Git 簽出在 .git/hooks/ 中有惡意命令，則這些命令將在執行「go get」的系統上執行。

CVE-2018-16873

使用惡意 Go 套件的 -u 旗標和匯入路徑執行時，「go get」命令容易受到遠端程式碼執行弱點攻擊，因為它可將父目錄視為包含惡意組態的 Git 存放庫 root。

CVE-2018-16874

使用惡意 Go 套件中包含大括號 (「{」和「}」字元) 的匯入路徑執行時，「go get」命令容易受到目錄遍歷攻擊。攻擊者可造成任意檔案系統寫入，進而可能導致程式碼執行。

CVE-2019-9741

在 net/http 中，若攻擊者控制了 url 參數，便可能執行 CRLF 插入攻擊，包含 \r\n 的 http.NewRequest 第二個引數 (後接 HTTP 標頭或 Redis 命令) 即為一例。

CVE-2019-16276

Go 允許 HTTP 要求走私。

CVE-2019-17596

嘗試處理含有無效 DSA 公開金鑰的網路流量時，Go 可能會發生錯誤。有數種攻擊情況，例如從用戶端到驗證用戶端憑證之伺服器的流量。

CVE-2021-3114

crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。

針對 Debian 9 Stretch，已在 1.7.4-2+deb9u3 版本中修正這些問題。

建議您升級 golang-1.7 套件。

如需有關 golang-1.7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/golang-1.7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
147797	Debian DLA-2591-1 : golang-1.7 security update	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
155224	RHEL 8 : grafana (RHSA-2021:4226)	Nessus	Red Hat Local Security Checks	2021/11/11	2025/3/12	high
155406	Oracle Linux 8 : grafana (ELSA-2021-4226)	Nessus	Oracle Linux Local Security Checks	2021/11/17	2024/10/22	high
223812	Linux Distros 未修补的漏洞: CVE-2021-3114	Nessus	Misc.	2025/3/5	2025/9/10	medium
163840	GLSA-202208-02：Go：多个漏洞	Nessus	Gentoo Local Security Checks	2022/8/4	2023/10/16	critical
194265	RHEL 7/8：OpenShift Virtualization 4.9.0 RPM (RHSA-2021:4103)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	medium
157167	RHEL 7：OpenShift Container Storage 3.11.z (RHSA-2022: 0308)	Nessus	Red Hat Local Security Checks	2022/1/28	2024/11/7	medium
155224	RHEL 8：grafana (RHSA-2021: 4226)	Nessus	Red Hat Local Security Checks	2021/11/11	2025/3/12	high
155406	Oracle Linux 8：grafana (ELSA-2021-4226)	Nessus	Oracle Linux Local Security Checks	2021/11/17	2024/10/22	high
147797	Debian DLA-2591-1：golang-1.7 安全更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
149924	Oracle Linux 8：go-toolset: ol8 (ELSA-2021-1746)	Nessus	Oracle Linux Local Security Checks	2021/5/26	2024/11/1	high
223812	Linux Distros 未修補弱點：CVE-2021-3114	Nessus	Misc.	2025/3/5	2025/9/10	medium
163840	GLSA-202208-02：Go：多個弱點	Nessus	Gentoo Local Security Checks	2022/8/4	2023/10/16	critical
149924	Oracle Linux 8：go-toolset: ol8 (ELSA-2021-1746)	Nessus	Oracle Linux Local Security Checks	2021/5/26	2024/11/1	high
194265	RHEL 7 / 8：OpenShift Virtualization 4.9.0 RPM (RHSA-2021:4103)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	medium
157167	RHEL 7：OpenShift Container Storage 3.11.z (RHSA-2022: 0308)	Nessus	Red Hat Local Security Checks	2022/1/28	2024/11/7	medium
155224	RHEL 8：grafana (RHSA-2021: 4226)	Nessus	Red Hat Local Security Checks	2021/11/11	2025/3/12	high
155406	Oracle Linux 8：grafana (ELSA-2021-4226)	Nessus	Oracle Linux Local Security Checks	2021/11/17	2024/10/22	high
147797	Debian DLA-2591-1：golang-1.7 安全性更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical

检测

插件搜索

critical

high

high

medium

critical

medium

medium

high

high

critical

high

medium

critical

high

medium

medium

high

high

critical