リモートホストにインストールされている golang のバージョンは 1.20.5-1 より前のものです。したがって、ALAS2-2023-2163 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 大きなハンドシェイクレコードにより、crypto/tls でパニックを引き起こす可能性があります。クライアントとサーバーの両方が、大きな TLS ハンドシェイクレコードを送信する可能性があります。これにより、応答の構築を試行する際に、サーバーとクライアントはそれぞれパニックを引き起こします。これは、すべての TLS 1.3 クライアント、セッション再開を明示的に有効にする TLS 1.2 クライアント (Config.ClientSessionCache を nil 以外の値に設定)、およびクライアント証明書をリクエストする TLS 1.3 サーバー (Config.ClientAuth >= RequestClientCert に設定) に影響します。(CVE-2022-41724)

  - net/http および mime/multipart での過剰なリソース消費によるサービス拒否が可能です。
    mime/multipart.Reader.ReadForm によるマルチパートフォームの解析により、メモリおよびディスクファイルの大部分が無制限に消費される可能性があります。これは、Request メソッド FormFile、FormValue、ParseMultipartForm、および PostFormValue を持つ net/http パッケージのフォーム解析にも影響を与えます。ReadForm は maxMemory パラメーターを取り、最大 maxMemory バイト + 10MB (非ファイル部分用に予約済み) をメモリに保存するよう文書化されています。メモリに保存できないファイル部分は、一時ファイルのディスクに保存されます。ファイル以外のパーツ用に予約された設定不可の 10MB が大きすぎるため、それだけでサービス拒否のベクトルを開く可能性があります。ただし、ReadForm は、マップエントリのオーバーヘッド、パーツ名、MIME ヘッダーなど、解析されたフォームによって消費されるすべてのメモリを適切に考慮していなかったため、悪意をもって細工されたフォームが 10MB 以上を消費することがありました。さらに、ReadForm には作成されるディスクファイルの数に制限がなかったため、比較的小さなリクエスト本文で多数のディスク一時ファイルを作成することができました。修正により、ReadForm はさまざまな形式のメモリオーバーヘッドを適切に考慮し、メモリ消費の文書化された上限である 10MB + maxMemory バイトの範囲内に収まるようになりました。ユーザーは、この制限が高く、依然として危険である可能性があることを認識しておく必要があります。また、ReadForm は、複数のフォームパーツを 1 つの一時ファイルにまとめて、ディスク上の一時ファイルを最大 1 つまで作成するようになりました。mime/multipart.File インターフェース型のドキュメントには、ディスクに保存されている場合、File の基礎となる具象型は *os.File であると記述されています。このため、1 つのフォームに複数のファイルパーツが含まれる場合、パーツは 1 つのファイルに統合されるため、このようなことはなくなりました。各フォームパーツに対して個別のファイルを使用する以前の動作は、環境変数 GODEBUG=multipartfiles=distinct で再度有効にすることができます。ユーザーは、multipart.ReadForm およびそれを呼び出す http.Request メソッドが、一時ファイルによって消費されるディスクの量を制限するわけではないことに注意する必要があります。呼び出し元は、http.MaxBytesReader でフォームデータのサイズを制限できます。(CVE-2022-41725)

  P256 Curve の ScalarMult および ScalarBaseMult メソッドは、ある特定の非還元スカラー (曲線の次数より大きなスカラー) を使用して呼び出された場合、不適切な結果を返す場合があります。これは、crypto/ecdsa または crypto/ecdh の使用には影響を与えません。(CVE-2023-24532)

  - マルチパートフォーム解析は、非常に多数のパーツを含むフォーム入力を処理する際に、大量の CPU およびメモリを消費する可能性があります。これにはいくつかの原因があります: 1. mime/multipart.Reader.ReadForm は、解析されたマルチパートフォームが消費できる合計メモリを制限します。ReadForm は、消費されるメモリの量を過小評価する可能性があり、意図したよりも大きな入力を受け入れる可能性があります。2. 合計メモリを制限しても、多数のパーツがあるフォームで多数の小さな割り当てが発生することでガベージコレクターへの負荷が高まることは考慮されません。3.
    ReadForm は、多数の有効期間の短いバッファを割り当てる可能性があります。これにより、ガベージコレクターに対する負荷がさらに高まります。これらの要因の組み合わせにより、攻撃者が、マルチパートフォームを解析するプログラムに大量の CPU とメモリを消費させ、サービス拒否を引き起こす可能性があります。
    これは、mime/multipart.Reader.ReadForm を使用するプログラムに影響を与え、Request メソッド FormFile、FormValue、ParseMultipartForm、および PostFormValue を持つ net/http パッケージのフォーム解析にも影響を与えます。修正により、ReadForm は解析されたフォームのメモリ消費をより適切に見積もるようになり、実行時間の短い割り当ての実行がより少なくなります。さらに、修正された mime/multipart.Reader は、解析されるフォームのサイズに次の制限を課します: 1. ReadForm で解析されるフォームに含めることができるパーツ数は 1000 以下です。この制限は、環境変数 GODEBUG = multipartmaxparts = で調整できます。2. NextPart および NextRawPart で解析されるフォームパーツに含めることができるヘッダーフィールドは、10,000 以下です。さらに、ReadForm で解析されたフォームに含めることができるヘッダーフィールドは、すべてのパーツで 10,000 以下です。この制限は、環境変数 GODEBUG = multipartmaxheaders = で調整できます。(CVE-2023-24536)

  - テンプレートは、バックティック (`) を Javascript の文字列デリミタとして適切に考慮せず、期待通りにエスケープしません。JS テンプレートリテラルには、ES6 以降、バックティックが使用されています。テンプレートの Javascript テンプレートリテラル内に Go テンプレートアクションが含まれている場合、アクションのコンテンツを使用してリテラルを終了し、任意の Javascript コードを Go テンプレートに注入できます。ES6 テンプレートリテラルはかなり複雑で、それ自体が文字列補間を実行できるため、Go テンプレートアクションをそれらの内部で使用することをシンプルに許可しないことが決定されました (例: var a = {{.}})。この動作を許可する明らかに安全な方法がないためです。これは github.com/google/safehtml と同じアプローチを取ります。修正により、Template.Parse は、ErrorCode の値が 12 であるこのようなテンプレートがあるとエラーを返すようになります。この ErrorCode は現在エクスポートされていませんが、Go 1.21のリリースでエクスポートされます。以前の動作に依存するユーザーは、GODEBUG フラグ jstmpllitinterp = 1 を使用してこれを再度有効にすることができますが、バックティックがエスケープされることに注意してください。これは注意して使用する必要があります。(CVE-2023-24538)

  - JavaScript の有効な空白文字がすべて空白文字と見なされるわけではありません。JavaScript コンテキストの文字セット \t\n\f\r\u0020\u2028\u2029 以外の空白文字が含まれ、アクションも含まれているテンプレートは、実行中に適切にサニタイズされない可能性があります。(CVE-2023-24540)

  - 引用符で囲まれていない HTML 属性 (例: attr={{.}}) にアクションを含むテンプレートを空の入力で実行すると、HTML 正規化ルールにより、解析時に予期しない結果となる出力が発生する可能性があります。これにより、任意の属性をタグに注入できる可能性があります。(CVE-2023-29400)

  - Unix プラットフォームで、バイナリが setuid/setgid ビットで実行されている場合、Go ランタイムは異なる動作をしません。これにより、メモリ状態をダンプするときや、標準の i/o ファイル記述子のステータスを仮定するときなど、特定の場合に危険な場合があります。標準の I/O ファイル記述子を閉じた状態で setuid/setgid バイナリを実行した場合、ファイルを開くと、昇格した権限で予期しないコンテンツの読み書きが行われる可能性があります。
    同様に、setuid/setgid プログラムがパニックまたはシグナルによって終了した場合、そのレジスタのコンテンツが漏洩する可能性があります。(CVE-2023-29403)

  go コマンドは、cgo を使用中の場合、ビルドタイムに任意のコードを実行する可能性があります。これは悪意のあるモジュールで go get を実行している、あるいは信頼できないコードをビルドする他のコマンドを実行しているときに発生する可能性があります。これは、#cgo LDFLAGS ディレクティブで指定されたリンカーフラグにより発生する可能性があります。オプションではない多数のフラグの引数がオプションであると誤って見なされ、LDFLAGS サニタイズを通じて許可されていないフラグのスマグリングが可能になります。これは gc コンパイラと gccgo コンパイラの両方の使用に影響します。(CVE-2023-29404)

  go コマンドは、cgo を使用中の場合、ビルドタイムに任意のコードを実行する可能性があります。これは悪意のあるモジュールで go get を実行している、あるいは信頼できないコードをビルドする他のコマンドを実行しているときに発生する可能性があります。これは、#cgo LDFLAGS ディレクティブで指定されたリンカーフラグにより発生する可能性があります。埋め込まれたスペースを含むフラグが不適切に処理されるため、別のフラグの引数に含めることで、許可されていないフラグを LDFLAGS サニタイズを通してスマグリングすることが可能です。これは gccgo コンパイラの使用にのみ影響します。(CVE-2023-29405)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS ホストには、USN-7109-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Philippe Antoine 氏は、Go が細工された HTTP/2 ストリームを不適切に処理することを発見しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2022-41723)

    Marten Seemann 氏は、Go が特定の状況でメモリを適切に管理しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2022-41724)

    Ameya Darshan 氏と Jakob Ackermann 氏は、Go が ReadForm が消費できるメモリとディスクファイルの量を適切に検証していないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2022-41725)

    Hunter Wittenborn 氏は、Go が環境変数のサニタイズを不適切に処理していることを発見しました。攻撃者がこの問題を悪用して、任意のコマンドを実行する可能性があります。(CVE-2023-24531)

    Jakob Ackermann 氏は、Go がマルチパートフォームを不適切に処理することを発見しました。攻撃者がこの問題を利用して、過剰な量のリソースを消費し、サービス拒否を引き起こす可能性があります。(CVE-2023-24536)

    Juho Nurminen 氏は、Go がディレクトリまたはファイルパスで特定の特殊文字を不適切に処理していることを発見しました。攻撃者がこの問題を悪用して、コードを結果のバイナリに挿入する可能性があります。
    (CVE-2023-29402)

    Vincent Dehors 氏は、Go がアクセス許可ビットを不適切に処理していることを発見しました。攻撃者がこの問題を悪用して、昇格された権限でファイルを読み書きする可能性があります。(CVE-2023-29403)

    Juho Nurminen 氏は、Go が特定のコンパイラディレクティブを不適切に処理していることを発見しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2023-29404)

    Juho Nurminen 氏は、Go が特定の細工された引数を不適切に処理していることを発見しました。攻撃者がこの問題を悪用して、ビルドタイムで任意のコードを実行する可能性があります。(CVE-2023-29405)

    Bartek Nowotarski 氏は、Go がホストヘッダーのコンテンツを不適切に検証していることを発見しました。リモートの攻撃者がこの問題を悪用して、追加のヘッダーまたはリクエスト全体を注入する可能性があります。(CVE-2023-29406)

    Takeshi Kaneko 氏は、Go が html/template モジュールのスクリプトコンテキストでコメントと特別なタグを適切に処理しないことを発見しました。攻撃者がこの問題を悪用して、Javascript コードを注入し、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。(CVE-2023-39318、CVE-2023-39319)

    Go がコンパイル中に //go:cgo_ ディレクティブを適切に検証しなかったことが判明しました。攻撃者がこの問題を悪用して、コンパイル時間中に任意のコードを挿入する可能性があります。(CVE-2023-39323)

    Go では net/http モジュールで同時に実行されるハンドラーゴルーチンの数が制限されていないことがわかりました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2023-39325)

    Bartek Nowotarski 氏は、リクエストのヘッダーが MaxHeaderBytes を超えると、Go net/http モジュールがリクエストを適切に処理しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2023-45288)

    Bartek Nowotarski 氏は、マルチパートフォームを解析するとき、Go net/http モジュールが解析されるフォームの合計サイズを適切に検証しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2023-45290)

    John Howard 氏は、Go crypto/x509 モジュールが、未知の公開鍵アルゴリズムを持つ証明書を含む証明書チェーンを適切に処理しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-24783)

    Juho Nurminen 氏は、Go net/mail モジュールが、ParseAddressList 関数の表示名内のコメントを適切に処理しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-24784)

    Go html/template モジュールが、MarshalJSON メソッドから返されたエラーを検証しないことがわかりました。攻撃者がこの問題を悪用して、任意のコードを Go テンプレートに挿入する可能性があります。
    (CVE-2024-24785)

    Yufan You 氏は、Go archive/zip モジュールが、ほとんどの zip 実装の動作と異なり、特定のタイプの無効な zip ファイルを適切に処理していないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-24789)

    Enze Wang 氏および Jianjun Chen 氏は、Go net/netip モジュールが、さまざまな Is メソッドで IPv4 にマッピングされた IPv6 アドレスに対して期待どおりに機能しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-24790)

    Geoff Franks 氏は、Go net/http モジュールが、特定の状況で、Expect: 100-continue ヘッダーを持つリクエストへの応答を適切に処理しないことを発見しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2024-24791)

    Go パーサーモジュールが、深くネスト化されたリテラル値を適切に処理していないことが判明しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-34155)

    Md Sakib Anwar 氏は、Go のエンコーディング/gob モジュールが特定の状況でメッセージのデコーディングを適切に処理しないことを発見しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-34156)

    Go ビルドモジュールが、深くネスト化された式がある特定のビルドタグ行を適切に処理しないことが判明しました。攻撃者がこの問題を悪用してパニックを起こさせ、サービス拒否を引き起こす可能性があります。(CVE-2024-34158)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Splunk のバージョンは、テスト済みバージョンより前です。したがって、SVD-2024-0303 のアドバイザリに記載されている脆弱性の影響を受けます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
178816	Amazon Linux 2: golang (ALAS-2023-2163)	Nessus	Amazon Linux Local Security Checks	2023/7/26	2024/12/11	critical
210950	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Go の脆弱性 (USN-7109-1)	Nessus	Ubuntu Local Security Checks	2024/11/14	2024/11/14	critical
194923	Splunk Enterprise 9.0.0 < 9.0.9、9.1.0 < 9.1.4、9.2.0 < 9.2.1 (SVD-2024-0303)	Nessus	CGI abuses	2024/5/2	2025/5/12	critical

检测

插件搜索

critical

critical

critical