远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2022:5775 中提及的多个漏洞的影响。

  - 在 Go 1.17.12 和 Go 1.18.4 版之前的 net/http 的 HTTP/1 客户端中接受某些无效的 Transfer-Encoding 标头后，如果与同样未能将标头正确拒绝为无效的中间服务器结合，则允许 HTTP 请求走私。(CVE-2022-1705)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，go/parser 函数中不受控制的递归允许攻击者通过深度嵌套的类型或声明造成堆栈耗尽。(CVE-2022-1962)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/xml 中的 Decoder.Skip 中不受控制的递归允许攻击者通过深度嵌套的 XML 文档引起堆栈耗尽，从而造成错误。(CVE-2022-28131)

  - Go 1.17.11 和 Go 1.18.3 之前的版本中，crypto/tls 中会话票证中 ticket_age_add 的非随机值会让攻击者能够观察 TLS 握手，以在会话恢复期间通过比较票证使用时间来关联连续的连接。(CVE-2022-30629)

  - Go 1.17.12 和 Go 1.18.4 之前的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30630)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，compress/gzip 中的 Reader.Read 中不受控制的递归允许攻击者通过包含大量连接的 0 长度压缩文件的存档，由于堆栈耗尽而造成错误。(CVE-2022-30631)

  - Go 1.17.12 和 Go 1.18.4 之前版本中，path/filepath 中的 Glob 中不受控制的递归允许攻击者通过包含大量路径分隔符的路径，由于堆栈耗尽而造成错误。
    (CVE-2022-30632)

  - Go 1.17.12和 Go 1.18.4 之前的版本中，encoding/xml 中的 Unmarshal 中不受控制的递归允许攻击者通过将 XML 文档解组到具有使用“any”字段标记的嵌套字段的 Go 结构中来造成错误。(CVE-2022-30633)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，encoding/gob 中的 Decoder.Decode 中不受控制的递归允许攻击者通过包含深度嵌套结构的消息，由于堆栈耗尽而造成错误。
    (CVE-2022-30635)

  - Go 1.17.12 和 Go 1.18.4 之前的版本中，net/http 中不当暴露客户端 IP 地址可通过使用包含 X-Forwarded-For 标头的 nil 值的 Request.Header 映射调用 httputil.ReverseProxy.ServeHTTP 来触发，这会造成 ReverseProxy 将客户端 IP 设置为 X-Forwarded-For 标头的值。(CVE-2022-32148)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 LTS 主机上安装的多个程序包受到 USN-6038-2 公告中提及的多个漏洞影响。

    USN-6038-1 修复了 Go 1.18 中的多个漏洞。此更新提供针对 Go 1.13 和 Go 1.16 的相应更新。

    CVE-2022-29526 和 CVE-2022-30630 仅影响 Go 1.16。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2022-4431:02 公告中提及的多个漏洞的影响。

    * golangnet/[http:](http:) 未正确审查传输编码标头 (CVE-2022-1705)
      * cri-o访问 kube api 时节点上的内存耗尽 (CVE-2022-1708)
      * golanggo/parser所有 Parse* 函数中的堆栈耗尽 (CVE-2022-1962)
      * prometheus/client_golang使用 InstrumentHandlerCounter 造成拒绝服务CVE-2022-21698
      * golang编码/xmlDecoder.Skip 中的堆栈耗尽 (CVE-2022-28131)
      * golangio/fsGlob 中的堆栈耗尽 (CVE-2022-30630)
      * golang压缩/gzipReader.Read 中的堆栈耗尽 (CVE-2022-30631)
      * golang路径/文件路径Glob 中的堆栈耗尽 (CVE-2022-30632)
      * golang编码/xmlUnmarshal 中的堆栈耗尽 (CVE-2022-30633)
      * golangnet/http/httputilNewSingleHostReverseProxy - 忽略不工作的 X-Forwarded-For (CVE-2022-32148)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
185063	Rocky Linux 8 go-toolset:rhel8 (RLSA-2022:5775)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/14	medium
187743	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 LTS：Go 漏洞 (USN-6038-2)	Nessus	Ubuntu Local Security Checks	2024/1/9	2024/10/29	critical
292393	iracleLinux 8container-tools:3.0 (AXSA:2022-4431:02)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/2/24	medium

检测

插件搜索

medium

critical

medium