远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2022-5775 公告中提及的多个漏洞的影响。

  - golang：net/http：未正确审查 Transfer-Encoding 标头 (CVE-2022-1705)

  - golang：encoding/xml：Decoder.Skip 中的堆栈耗尽问题 (CVE-2022-28131)

  - golang：compress/gzip：Reader.Read 中的堆栈耗尽问题 (CVE-2022-30631)

  - golang：encoding/xml：Unmarshal 中的堆栈耗尽问题 (CVE-2022-30633)

  - golang：encoding/gob：Decoder.Decode 中的堆栈耗尽问题 (CVE-2022-30635)

  - golang：net/http/httputil：NewSingleHostReverseProxy - 省略 X-Forwarded-For 不起作用 (CVE-2022-32148)

  - golang：go/parser：所有 Parse* 函数中的堆栈耗尽问题 (CVE-2022-1962)

  - golang：io/fs：Glob 中的堆栈耗尽问题 (CVE-2022-30630)

  - golang：path/filepath：Glob 中的堆栈耗尽问题 (CVE-2022-30632)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上存在安装的程序包该程序包受到 ALSA-2022:5799 公告中提及的多个漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2023-2802 公告中提及的多个漏洞的影响。

  - 在 Go 1.18.6 之前版本以及 1.19.1 1.19.x 之前版本中，如果关闭操作被致命错误抢占，则 HTTP/2 连接可在关闭期间挂起，攻击者可借此通过 net/http 造成拒绝服务。(CVE-2022-27664)

  - 在 Go 1.17.12 和 Go 1.18.4 版之前的 net/http 的 HTTP/1 客户端中接受某些无效的 Transfer-Encoding 标头后，如果与同样未能将标头正确拒绝为无效的中间服务器结合，则允许 HTTP 请求走私。(CVE-2022-1705)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，net/http 中不当暴露客户端 IP 地址可通过使用包含 X-Forwarded-For 标头的 nil 值的 Request.Header 映射调用 httputil.ReverseProxy.ServeHTTP 来触发，这会造成 ReverseProxy 将客户端 IP 设置为 X-Forwarded-For 标头的值。(CVE-2022-32148)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/gob 中的 Decoder.Decode 中不受控制的递归允许攻击者通过包含深度嵌套结构的消息，由于堆栈耗尽而造成错误。
    (CVE-2022-30635)

  - 攻击者可造成接受 HTTP/2 请求的 Go 服务器内存过度增长。HTTP/2 服务器连接包含客户端发送的 HTTP 标头密钥的缓存。尽管此缓存中的条目总数已上限，但攻击者可发送非常大的密钥，从而导致服务器为每个打开的连接分配大约 64 MiB。(CVE-2022-41717)

  - Go 1.17.12 和 Go 1.18.4 之前的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30630)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，path/filepath 中的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30632)

  - 在 1.17.13 和 1.18.5 版之前的 Go 的 math/big 中，编码过短的消息可能导致 Float.GobDecode 和 Rat GobDecode 发生错误，从而可能造成拒绝服务。(CVE-2022-32189)

  - 在 podman 中发现检查时间使用时间 (TOCTOU) 争用缺陷。此问题可能允许恶意用户在导出卷时将卷中的普通文件替换为符号链接，从而可以访问主机文件系统中的任意文件。(CVE-2023-0778)

  - Go 1.17.12和 Go 1.18.4 之前的版本中，encoding/xml 中的 Unmarshal 中不受控制的递归允许攻击者通过将 XML 文档解组到具有使用“any”字段标记的嵌套字段的 Go 结构中来造成错误。(CVE-2022-30633)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，go/parser 函数中不受控制的递归允许攻击者通过深度嵌套的类型或声明造成堆栈耗尽。(CVE-2022-1962)

  - Podman 容器引擎中存在附属组处理错误问题，这可能导致敏感信息泄露或数据修改，但前提是攻击者可以直接访问受影响的容器（其中使用附属组来设置访问权限，并且能够在该容器中执行二进制代码。(CVE-2022-2989)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/xml 中的 Decoder.Skip 中不受控制的递归允许攻击者通过深度嵌套的 XML 文档引起堆栈耗尽，从而造成错误。(CVE-2022-28131)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，compress/gzip 中的 Reader.Read 中不受控制的递归允许攻击者通过包含大量连接的 0 长度压缩文件的存档，由于堆栈耗尽而造成错误。(CVE-2022-30631)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2023-2758 公告中提及的多个漏洞的影响。

  - Go 1.17.12和 Go 1.18.4 之前的版本中，encoding/xml 中的 Unmarshal 中不受控制的递归允许攻击者通过将 XML 文档解组到具有使用“any”字段标记的嵌套字段的 Go 结构中来造成错误。(CVE-2022-30633)

  - 在 Go 1.18.6 之前版本以及 1.19.1 1.19.x 之前版本中，如果关闭操作被致命错误抢占，则 HTTP/2 连接可在关闭期间挂起，攻击者可借此通过 net/http 造成拒绝服务。(CVE-2022-27664)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，path/filepath 中的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30632)

  - Go 1.17.12 和 Go 1.18.4 之前的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30630)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/gob 中的 Decoder.Decode 中不受控制的递归允许攻击者通过包含深度嵌套结构的消息，由于堆栈耗尽而造成错误。
    (CVE-2022-30635)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，go/parser 函数中不受控制的递归允许攻击者通过深度嵌套的类型或声明造成堆栈耗尽。(CVE-2022-1962)

  - Go 1.17.11 和 Go 1.18.3 之前的版本中，crypto/tls 中会话票证中 ticket_age_add 的非随机值会让攻击者能够观察 TLS 握手，以在会话恢复期间通过比较票证使用时间来关联连续的连接。(CVE-2022-30629)

  - 在 podman 中发现检查时间使用时间 (TOCTOU) 争用缺陷。此问题可能允许恶意用户在导出卷时将卷中的普通文件替换为符号链接，从而可以访问主机文件系统中的任意文件。(CVE-2023-0778)

  - 在 Go 1.17.12 和 Go 1.18.4 版之前的 net/http 的 HTTP/1 客户端中接受某些无效的 Transfer-Encoding 标头后，如果与同样未能将标头正确拒绝为无效的中间服务器结合，则允许 HTTP 请求走私。(CVE-2022-1705)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，net/http 中不当暴露客户端 IP 地址可通过使用包含 X-Forwarded-For 标头的 nil 值的 Request.Header 映射调用 httputil.ReverseProxy.ServeHTTP 来触发，这会造成 ReverseProxy 将客户端 IP 设置为 X-Forwarded-For 标头的值。(CVE-2022-32148)

  - 在 1.17.13 和 1.18.5 版之前的 Go 的 math/big 中，编码过短的消息可能导致 Float.GobDecode 和 Rat GobDecode 发生错误，从而可能造成拒绝服务。(CVE-2022-32189)

  - 攻击者可造成接受 HTTP/2 请求的 Go 服务器内存过度增长。HTTP/2 服务器连接包含客户端发送的 HTTP 标头密钥的缓存。尽管此缓存中的条目总数已上限，但攻击者可发送非常大的密钥，从而导致服务器为每个打开的连接分配大约 64 MiB。(CVE-2022-41717)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，compress/gzip 中的 Reader.Read 中不受控制的递归允许攻击者通过包含大量连接的 0 长度压缩文件的存档，由于堆栈耗尽而造成错误。(CVE-2022-30631)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/xml 中的 Decoder.Skip 中不受控制的递归允许攻击者通过深度嵌套的 XML 文档引起堆栈耗尽，从而造成错误。(CVE-2022-28131)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2022: 8057 公告中提及的多个漏洞影响。

  - sanitize-url：由于未正确审查 sanitizeUrl 函数而导致的 XSS (CVE-2021-23648)

  - 在 Go 1.17.12 和 Go 1.18.4 版之前的 net/http 的 HTTP/1 客户端中接受某些无效的 Transfer-Encoding 标头后，如果与同样未能将标头正确拒绝为无效的中间服务器结合，则允许 HTTP 请求走私。(CVE-2022-1705)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，go/parser 函数中不受控制的递归允许攻击者通过深度嵌套的类型或声明造成堆栈耗尽。(CVE-2022-1962)

  - grafana：Forward OAuth Identity 标记允许用户访问某些数据源 (CVE-2022-21673)

  - client_golang 是 Prometheus 中 Go 应用程序的检测库，client_golang 中的 promhttp 程序包可提供有关 HTTP 服务器和客户端的工具。在低于 1.11.1 版本的 client_golang 中，当使用非标准 HTTP 方法处理请求时，HTTP 服务器容易受到通过无限制基数而导致的拒绝服务以及潜在内存耗尽问题的影响。必须满足以下条件，受检测的软件才会受到影响：使用除 `RequestsInFlight` 以外的任何 `promhttp.InstrumentHandler*` 中间件；
    在中间件之前，不过滤任何特定方法（例如 GET）；将带有 `method` 标签名称的指标传递给我们的中间件；并且没有任何防火墙/LB/代理过滤掉具有未知 `method` 的请求。
    client_golang 1.11.1 版本包含针对此问题的补丁。有多种变通方案可用，包括从 InstrumentHandler 使用的计数器/测量仪器中删除 `method` 标签名称；关闭受影响的 promhttp 处理程序；在 promhttp 处理程序之前添加自定义中间件，用于审查 Go http.Request 提供的请求方法；以及使用配置为仅允许有限方法集的反向代理或 Web 应用程序防火墙。(CVE-2022-21698)

  - grafana：数据源处理中的 XSS 漏洞 (CVE-2022-21702)

  - grafana：CSRF 漏洞可能导致特权提升 (CVE-2022-21703)

  - grafana：IDOR 漏洞可导致信息泄露 (CVE-2022-21713)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/xml 中的 Decoder.Skip 中不受控制的递归允许攻击者通过深度嵌套的 XML 文档引起堆栈耗尽，从而造成错误。(CVE-2022-28131)

  - Go 1.17.12 和 Go 1.18.4 之前的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30630)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，compress/gzip 中的 Reader.Read 中不受控制的递归允许攻击者通过包含大量连接的 0 长度压缩文件的存档，由于堆栈耗尽而造成错误。(CVE-2022-30631)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，path/filepath 中的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30632)

  - Go 1.17.12和 Go 1.18.4 之前的版本中，encoding/xml 中的 Unmarshal 中不受控制的递归允许攻击者通过将 XML 文档解组到具有使用“any”字段标记的嵌套字段的 Go 结构中来造成错误。(CVE-2022-30633)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/gob 中的 Decoder.Decode 中不受控制的递归允许攻击者通过包含深度嵌套结构的消息，由于堆栈耗尽而造成错误。
    (CVE-2022-30635)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，net/http 中不当暴露客户端 IP 地址可通过使用包含 X-Forwarded-For 标头的 nil 值的 Request.Header 映射调用 httputil.ReverseProxy.ServeHTTP 来触发，这会造成 ReverseProxy 将客户端 IP 设置为 X-Forwarded-For 标头的值。(CVE-2022-32148)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2022-8057 公告中提及的多个漏洞的影响。

  - client_golang 是 Prometheus 中 Go 应用程序的检测库，client_golang 中的 promhttp 程序包可提供有关 HTTP 服务器和客户端的工具。在低于 1.11.1 版本的 client_golang 中，当使用非标准 HTTP 方法处理请求时，HTTP 服务器容易受到通过无限制基数而导致的拒绝服务以及潜在内存耗尽问题的影响。必须满足以下条件，受检测的软件才会受到影响：使用除 `RequestsInFlight` 以外的任何 `promhttp.InstrumentHandler*` 中间件；
    在中间件之前，不过滤任何特定方法（例如 GET）；将带有 `method` 标签名称的指标传递给我们的中间件；并且没有任何防火墙/LB/代理过滤掉具有未知 `method` 的请求。
    client_golang 1.11.1 版本包含针对此问题的补丁。有多种变通方案可用，包括从 InstrumentHandler 使用的计数器/测量仪器中删除 `method` 标签名称；关闭受影响的 promhttp 处理程序；在 promhttp 处理程序之前添加自定义中间件，用于审查 Go http.Request 提供的请求方法；以及使用配置为仅允许有限方法集的反向代理或 Web 应用程序防火墙。(CVE-2022-21698)

  - Grafana 是用于监控和观察的开源平台。受影响的 Grafana 版本暴露多个未正确处理用户授权的 API 端点。`/teams/：teamId` 将允许经身份验证的攻击者通过查询特定团队 ID 来查看意外数据，`/teams/: search` 将允许经身份验证的攻击者搜索团队并查看可用团队的总数，包括用户无权访问的团队，以及 `/teams/: teamId/members` 当启用 editors_can_admin 标志时，经过身份验证的攻击者可以通过查询特定团队 ID 来查看意外数据。
    建议用户尽快升级。针对此问题，尚无已知的变通方案。
    (CVE-2022-21713)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，net/http 中不当暴露客户端 IP 地址可通过使用包含 X-Forwarded-For 标头的 nil 值的 Request.Header 映射调用 httputil.ReverseProxy.ServeHTTP 来触发，这会造成 ReverseProxy 将客户端 IP 设置为 X-Forwarded-For 标头的值。(CVE-2022-32148)

  - Grafana 是用于监控和观察的开源平台。受影响的版本受到一个跨站请求伪造漏洞的影响，该漏洞允许攻击者通过对经身份验证的高权限 Grafana 用户（例如 Editors 或 Admins）发起跨源攻击来提升其权限。
    攻击者可通过诱骗经身份验证的用户以高权限新用户身份邀请攻击者，从而利用此漏洞进行权限提升。建议用户尽快升级。目前尚无针对此问题的解决方案。(CVE-2022-21703)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，path/filepath 中的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30632)

  - Grafana 是用于监控和观察的开源平台。在受影响的版本中，当数据源启用了“转发 OAuth 身份”功能时，向具有 API 标记（且无其他用户凭据）的该数据源发送查询将转发最近登录用户的 OAuth 身份。
    这可允许 API 令牌持有者检索他们可能无权访问的数据。此攻击依赖具有支持“转发 OAuth 身份”功能的数据源的 Grafana 实例、具有切换为“转发 OAuth 身份”功能的数据源的 Grafana 实例、已启用 OAuth 的 Grafana 实例以及具有可用 API 密钥的 Grafana 实例。已在版本 7.5.13 和 8.3.4 中修补此问题。(CVE-2022-21673)

  - Grafana 是用于监控和观察的开源平台。在受影响的版本中，攻击者可通过 Grafana 数据源或插件代理提供 HTML 内容，并使用特制的链接诱骗用户访问此 HTML 页面，并执行跨站脚本 (XSS) 攻击。攻击者可以破坏特定 Grafana 实例的现有数据源，也可以设置其自己的公共服务并指示任何人在其 Grafana 实例中进行设置。受到影响的版本一定符合以下所有条件。对于数据源代理：基于 Grafana HTTP 的数据源配置了服务器作为访问模式和 URL 集，攻击者必须控制提供上述数据源 URL 的 HTTP 服务器，并且指向攻击者控制的数据源的特制链接必须由经过身份验证的用户单击。对于插件代理：基于 Grafana HTTP 的应用程序插件配置并启用了一个 URL 集，攻击者必须控制提供上述应用程序 URL 的 HTTP 服务器，并且指向攻击者控制的插件的特制链接必须由经过身份验证的用户单击。对于后端插件资源：攻击者必须能够通过构建的链接将经身份验证的用户导航到受损插件。建议用户更新到安装补丁的版本。目前尚无针对此漏洞的变通方案。(CVE-2022-21702)

  - Go 1.17.12 和 Go 1.18.4 之前的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30630)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，go/parser 函数中不受控制的递归允许攻击者通过深度嵌套的类型或声明造成堆栈耗尽。(CVE-2022-1962)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，compress/gzip 中的 Reader.Read 中不受控制的递归允许攻击者通过包含大量连接的 0 长度压缩文件的存档，由于堆栈耗尽而造成错误。(CVE-2022-30631)

  - 由于未正确审查 sanitizeUrl 函数，低于 6.0.0 版的程序包 @braintree/sanitize-url 容易受到跨站脚本 (XSS) 的攻击。(CVE-2021-23648)

  - 在 Go 1.17.12 和 Go 1.18.4 之前的 net/http 客户端中接受某些无效的 Transfer-Encoding 标头后，如果与同样未能将标头正确拒绝为无效的中间服务器结合，则允许 HTTP 请求走私。(CVE-2022-1705)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/gob 中的 Decoder.Decode 中不受控制的递归允许攻击者通过包含深度嵌套结构的消息，由于堆栈耗尽而造成错误。
    (CVE-2022-30635)

  - Go 1.17.12和 Go 1.18.4 之前的版本中，encoding/xml 中的 Unmarshal 中不受控制的递归允许攻击者通过将 XML 文档解组到具有使用“any”字段标记的嵌套字段的 Go 结构中来造成错误。(CVE-2022-30633)

  - 在 1.17.12 之前的 Go 和 1.18.x 之前的 1.18.4中，encoding/xml 的 Decoder.Skip 中通过深度嵌套的 XML 文档可发生堆栈耗尽和错误。(CVE-2022-28131)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Splunk 版本低于测试版本。因此，该应用程序受到 SVD-2023-0613 公告中提及的一个漏洞影响。

  - 在 Node.js 0.8.3 之前的 xmldom（以 @xmldom/xmldom 发布）程序包中 dom.js 中，函数副本通过 p 变量存在原型污染漏洞。注意：供应商表示我们正在将此报告标记为无效；但是，一些第三方认为，原型注入/原型污染不仅会在全局对象受到递归合并或深度克隆的污染时发生，而且还会在目标对象受到污染时发生。(CVE-2022-37616)

  - 低于 7.84.0 版的 curl 将 cookie、alt-svc 和 hsts 数据保存到本地文件时，会通过将临时名称重命名为最终目标文件名称来完成操作，从而使该操作成为原子型操作。在该重命名操作中，它可能会意外*放宽*对目标文件的权限，使更多用户可访问更新后的文件。(CVE-2022-32207)

  - 在低于 2.10.3 版的 libxml2 中发现一个问题。在启用 XML_PARSE_HUGE 解析器选项的情况下解析多 GB 的 XML 文档时，多个整数计数器可能溢出。这会导致尝试以负 2GB 偏移量访问数组，通常会引起分段错误。(CVE-2022-40303)

  - 在低于 2.10.3 版的 libxml2 中发现一个问题。某些无效的 XML 实体定义可损坏哈希表密钥，从而可能导致后续出现逻辑错误。在一种情况下，可能会引发双重释放。(CVE-2022-40304)

  - 存在一个与 X.509 GeneralName 内的 X.400 地址处理相关的类型混淆漏洞。
    X.400 地址被解析为 ASN1_STRING，但 GENERAL_NAME 的公共结构定义错误地将 x400Address 字段的类型指定为 ASN1_TYPE。随后，按照 OpenSSL 函数 GENERAL_NAME_cmp 的解读，此字段应为 ASN1_TYPE 而不是 ASN1_STRING。CRL 检查启用（即应用程序设置 X509_V_FLAG_CRL_CHECK 标记）后，攻击者利用此漏洞可向 memcmp 调用传递任意指针，让指针能够读取内存内容或引起拒绝服务。在大多数情况下，攻击者需要同时提供证书链和 CRL 才能发起攻击，而这两者都不需要具有有效的签名。如果攻击者仅控制其中一个输入，则另一个输入必须已包含作为 CRL 分发点的 X.400 地址，但这种情况并不常见。因此，此漏洞最有可能只影响本身已实现通过网络检索 CRL 功能的应用程序。(CVE-2023-0286)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
163810	Oracle Linux 8：go-toolset: ol8 (ELSA-2022-5775)	Nessus	Oracle Linux Local Security Checks	2022/8/4	2024/11/1	medium
167694	AlmaLinux 9go-toolset 和 golang (ALSA-2022:5799)	Nessus	Alma Linux Local Security Checks	2022/11/16	2023/10/3	medium
176302	Oracle Linux 8：container-tools: 4.0 (ELSA-2023-2802)	Nessus	Oracle Linux Local Security Checks	2023/5/24	2024/11/2	high
176306	Oracle Linux 8：container-tools: ol8 (ELSA-2023-2758)	Nessus	Oracle Linux Local Security Checks	2023/5/24	2024/11/2	medium
167570	RHEL 9：grafana (RHSA-2022: 8057)	Nessus	Red Hat Local Security Checks	2022/11/15	2025/3/6	high
168119	Oracle Linux 9：grafana (ELSA-2022-8057)	Nessus	Oracle Linux Local Security Checks	2022/11/22	2024/10/22	high
194919	Splunk Enterprise <8.1.14、8.2.0 < 8.2.11、9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/7/26	critical

检测

插件搜索

medium

medium

high

medium

high

high

critical