远程 Red Hat Enterprise Linux CoreOS 4 主机上安装的程序包受到 RHSA-2023: 6840 公告。

  - HTTP/1 客户端没有充分验证主机标头的内容。恶意构建的主机标头可以注入其他标头或整个请求。修复后，HTTP/1 客户端现在会拒绝发送包含无效 Request.Host 或 Request.URL.Host 值的请求。(CVE-2023-29406)

  - 证书链中过大的 RSA 密钥可能会导致客户端/服务器花费大量 CPU 时间来验证签名。通过修复，将握手期间传输的 RSA 密钥大小限制为 <= 8192 位。根据对公众信任的 RSA 密钥的调查，目前流通中的证书中，只有三个的密钥大于此限制，并且这三个证书似乎都是未积极部署的测试证书。私有 PKI 中可能使用了更大的密钥，但我们针对的是 Web PKI，因此，为了提高 crypto/tls 用户的默认安全性，在此处造成中断似乎是合理的。(CVE-2023-29409)

  - html/模板程序包无法正确处理 HTML 类的注释标记，亦无法正确处理 <script> 内容脚本中的 hashbang #! 注释标记。这可能会导致模板解析器错误地解释 <script> 内容脚本中的内容，从而导致操作被错误转义。这可被用于执行 XSS 攻击。(CVE-2023-39318)

  - html/模版程序包没有应用正确的规则来处理出现的 <script, <!--, 情形和  </script within JS literals in ><script> 环境。这可能会导致模板解析器错误地将脚本上下文考虑为提前终止，从而导致操作被错误转义。这可被用于执行 XSS 攻击。(CVE-2023-39319)

  - 处理 QUIC 连接的不完整握手后消息时可能会引发恐慌。(CVE-2023-39321)

  - QUIC 连接在读取握手后消息时不会设置缓冲数据量的上限，因而可促使恶意 QUIC 连接导致无限的内存增长。通过修复，连接现在可持续拒绝大于 65KiB 的消息。(CVE-2023-39322)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - golang：net/http、x/net/http2: 快速流重置可能会导致过多的工作 () (CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2023:6179 公告中提及的多个漏洞影响。

  - snakeyaml：由于缺少集合的嵌套深度限制而导致的拒绝服务漏洞 (CVE-2022-25857)

  - maven-shared-utils：通过命令行类进行的命令注入 (CVE-2022-29599)

  - apache-commons-text：变量插值 RCE (CVE-2022-42889)

  - jenkins-2-plugins/script-security：脚本安全插件中存在沙盒绕过漏洞 (CVE-2023-24422)

  - jenkins-2-plugins/JUnit：JUnit 插件中存在存储型 XSS 漏洞 (CVE-2023-25761)

  - jenkins-2-plugins/pipeline-build-step：Pipeline 中存在存储型 XSS 漏洞：Build Step 插件 (CVE-2023-25762)

  - golang：net/http, x/net/http2：快速流重置可能会导致过多的工作 (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2023:5965 公告中提及的多个漏洞影响。

  - golang：net/http：对主机标头的审查不充分 (CVE-2023-29406)

  - golang：crypto/tls：验证包含大型 RSA 密钥的证书链的速度缓慢 (CVE-2023-29409)

  - golang：net/http, x/net/http2：快速流重置可能会导致过多的工作 (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2023: 5738 公告中提及的多个漏洞影响。

  - HTTP/1 客户端没有充分验证主机标头的内容。恶意构建的主机标头可以注入其他标头或整个请求。修复后，HTTP/1 客户端现在会拒绝发送包含无效 Request.Host 或 Request.URL.Host 值的请求。(CVE-2023-29406)

  - 证书链中过大的 RSA 密钥可能会导致客户端/服务器花费大量 CPU 时间来验证签名。通过修复，将握手期间传输的 RSA 密钥大小限制为 <= 8192 位。根据对公众信任的 RSA 密钥的调查，目前流通中的证书中，只有三个的密钥大于此限制，并且这三个证书似乎都是未积极部署的测试证书。私有 PKI 中可能使用了更大的密钥，但我们针对的是 Web PKI，因此，为了提高 crypto/tls 用户的默认安全性，在此处造成中断似乎是合理的。(CVE-2023-29409)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - golang：net/http、x/net/http2: 快速流重置可能会导致过多的工作 () (CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023：5721 公告中提及的多个漏洞影响。

  - HTTP/1 客户端没有充分验证主机标头的内容。恶意构建的主机标头可以注入其他标头或整个请求。修复后，HTTP/1 客户端现在会拒绝发送包含无效 Request.Host 或 Request.URL.Host 值的请求。(CVE-2023-29406)

  - 证书链中过大的 RSA 密钥可能会导致客户端/服务器花费大量 CPU 时间来验证签名。通过修复，将握手期间传输的 RSA 密钥大小限制为 <= 8192 位。根据对公众信任的 RSA 密钥的调查，目前流通中的证书中，只有三个的密钥大于此限制，并且这三个证书似乎都是未积极部署的测试证书。私有 PKI 中可能使用了更大的密钥，但我们针对的是 Web PKI，因此，为了提高 crypto/tls 用户的默认安全性，在此处造成中断似乎是合理的。(CVE-2023-29409)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - golang：net/http、x/net/http2: 快速流重置可能会导致过多的工作 () (CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上存在安装的程序包该程序包受到 ALSA-2023:5721 公告中提及的多个漏洞的影响。

    * golangnet/http、x/net/http2快速流重置可导致过多工作 [CVE-2023-44487] (CVE-2023-39325)
    * HTTP/2多个 HTTP/2 启用的 Web 服务器容易受到 DDoS 攻击快速重置攻击CVE-2023-44487

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上存在安装的程序包该程序包受到 ALSA-2023:5738 公告中提及的多个漏洞的影响。

  - 证书链中过大的 RSA 密钥可能会导致客户端/服务器花费大量 CPU 时间来验证签名。通过修复，将握手期间传输的 RSA 密钥大小限制为 <= 8192 位。根据对公众信任的 RSA 密钥的调查，目前流通中的证书中，只有三个的密钥大于此限制，并且这三个证书似乎都是未积极部署的测试证书。私有 PKI 中可能使用了更大的密钥，但我们针对的是 Web PKI，因此，为了提高 crypto/tls 用户的默认安全性，在此处造成中断似乎是合理的。(CVE-2023-29409)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

因此，它受到公告 ALAS2023-2023-394 中提及的多个漏洞影响。

  － Line 指令（“//line”）可用于绕过”//go: cgo_ 指令中的限制，允许在编译过程中传递被阻断的链接器和编译器标记。这可能会导致运行“go build”时意外执行任意代码。line 指令需要指令所在文件的绝对路径，这使得利用此问题变得更加复杂。(CVE-2023-39323)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上存在安装的程序包该程序包受到 ALSA-2023:5863 公告中提及的多个漏洞的影响。

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2023:5863 中提及的多个漏洞的影响。

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 9 主机上存在安装的程序包该程序包受到公告 RLSA-2023:6077 中提及的多个漏洞的影响。

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2023-13029 公告中提及的多个漏洞影响。

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2023:5805 公告中提及的多个漏洞影响。

  - golang：crypto/tls：验证包含大型 RSA 密钥的证书链的速度缓慢 (CVE-2023-29409)

  - golang：net/http, x/net/http2：快速流重置可能会导致过多的工作 (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6/7/8/9 主机上安装的多个程序包受到 RHSA-2023:5982 公告中提及的多个漏洞影响。

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-1292)

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-2068)

  - golang: net/http: 接受 HTTP/2 请求的 Go 服务器发生内存使用过度增长 (CVE-2022-41717)

  - golang：net/http, x/net/http2：快速流重置可能会导致过多的工作 (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7/8 主机上安装的多个程序包受到 RHSA-2023:5980 公告中提及的多个漏洞影响。

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-1292)

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-2068)

  - ruby-git：修复代码注入漏洞 (CVE-2022-46648、CVE-2022-47318)

  - Foreman：通过模板执行任意代码 (CVE-2023-0118)

  - Satellite/Foreman：通过 yaml 全局参数执行任意代码 (CVE-2023-0462)

  - golang：net/http, x/net/http2：快速流重置可能会导致过多的工作 (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
189455	RHCOS 4：OpenShift Container Platform 4.14.2 (RHSA-2023: 6840)	Nessus	Red Hat Local Security Checks	2024/1/24	2024/2/9	medium
194368	RHEL 8：Red Hat Product OCP Tools 4.13 OpenShift Jenkins (RHSA-2023:6179)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical
194383	RHEL 8：Red Hat OpenStack Platform 16.2.5 (collectd-libpod-stats, etcd) (RHSA-2023:5965)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical
183201	RHEL 9：go-toolset 和 golang (RHSA-2023: 5738)	Nessus	Red Hat Local Security Checks	2023/10/16	2025/3/6	critical
183202	RHEL 8：go-toolset: rhel8 (RHSA-2023: 5721)	Nessus	Red Hat Local Security Checks	2023/10/16	2025/3/6	critical
183212	AlmaLinux 8 : go-toolset:rhel8 (ALSA-2023:5721)	Nessus	Alma Linux Local Security Checks	2023/10/17	2025/1/13	critical
183218	AlmaLinux 9go-toolset 和 golang (ALSA-2023:5738)	Nessus	Alma Linux Local Security Checks	2023/10/17	2024/2/23	high
183346	Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2023-394)	Nessus	Amazon Linux Local Security Checks	2023/10/19	2024/12/11	critical
183425	AlmaLinux 8grafana (ALSA-2023:5863)	Nessus	Alma Linux Local Security Checks	2023/10/19	2024/2/23	high
183795	Rocky Linux 8grafana (RLSA-2023:5863)	Nessus	Rocky Linux Local Security Checks	2023/10/24	2024/2/9	high
185466	Rocky Linux 9 工具箱 (RLSA-2023:6077)	Nessus	Rocky Linux Local Security Checks	2023/11/11	2024/2/9	high
186693	Oracle Linux 7：conmon (ELSA-2023-13029)	Nessus	Oracle Linux Local Security Checks	2023/12/8	2024/10/23	critical
194376	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（重要）(RHSA-2023:5805)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical
194412	RHEL 6/7/8/9：Red Hat Satellite Client (RHSA-2023:5982)	Nessus	Red Hat Local Security Checks	2024/4/28	2025/9/4	critical
194416	RHEL 7/8：Satellite 6.11.5.6 async (RHSA-2023:5980)	Nessus	Red Hat Local Security Checks	2024/4/28	2025/9/4	critical

检测

插件搜索

medium

critical

critical

critical

critical

critical

high

critical

high

high

high

critical

critical

critical

critical