针对 net/http 走私的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此 go 更新修复了下列问题：

CVE-2015-5739：“Content Length”被视为有效标头

- CVE-2015-5740：双 content-length 标头不返回 400 错误

- CVE-2015-5741：进一步强化，而不是发送 Content-Length 和 Transfer-Encoding，关闭连接

Go 已更新到 1.4.3 版，还包含下列变更：

- build：从 cmd/dist 移除 -Werror

- runtime：访问附加至未初始化配量的空结构值时发生错误

- runtime：垃圾回收器发现反复使用映射的无效堆指针

golang 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

golang 程序包提供 Go 编程语言编译器。

下列程序包已升级到更新的上游版本：
golang (1.6.3)。(BZ#1346331)

安全补丁：

* 在内置于 CGI 实现的 Go 编程语言中发现一个输入验证缺陷，其使用传入的“Proxy”HTTP 请求标头设置环境变量“HTTP_PROXY”。
多个 Web 客户端使用环境变量“HTTP_PROXY”（包括 Go 的 net/http 程序包）指定要用于 HTTP（某些情况下为 HTTPS）请求的代理服务器。这表示基于 CGI 的 web 应用程序运行时，攻击者可指定代理服务器，接着应用程序会使用这个代理服务器发出后续传出请求，进而允许中间人攻击。(CVE-2016-5386)

Red Hat 在此感谢 Scott Geary (VendHQ) 报告此问题。

Go 产品经理 Jason Buberel 报告：

CVE-2015-5739 -“Content Length”被视为有效标头

CVE-2015-5740 - 双 content-length 标头不返回 400 错误

CVE-2015-5741 - 进一步强化，而不是发送 Content-Length 和 Transfer-Encoding，关闭连接

golang-1.5.1-0.fc21 - 更新到 go1.5.1 golang-1.5.1-0.fc22 - 更新到 go1.5.1 golang-1.5.1-0.el6 - 更新到 go1.5.1 golang-1.5.1-0.fc23
- 更新到 go1.5.1 ---- bz1258166 删除 srpm 宏，适用于 go-srpm-macros ---- 更新到 go1.5；x86_64 的共享对象；gdb 补丁；完整的 http 走私补丁；测试补丁 ---- bz1258166 删除 srpm 宏，适用于 go-srpm-macros

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 1.4.3 之前的 Go 中net/textproto/reader.go 内的 net/http 库未正确解析 HTTP 标头密钥这允许远程攻击者通过空格而不是连字符来执行 HTTP 请求走私攻击这一点已由内容长度证实而不是 Content-Length。 (CVE-2015-5739)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

如上游所讨论的 -- 从不同角度 -- Go project 收到关于 net/http 库中的 HTTP 请求走私漏洞的通知。将无效标头解析为有效标头（如中间有空格的“Content Length:”），请求中的双 Content-length 标头不会生成 400 错误，第二个 Content-length 会被忽略。

golang-1.5.1-0.fc21 - 更新到 go1.5.1 golang-1.5.1-0.fc22 - 更新到 go1.5.1 golang-1.5.1-0.el6 - 更新到 go1.5.1 golang-1.5.1-0.fc23
- 更新到 go1.5.1 ---- 更新到 go1.5；x86_64 的共享对象；
gdb 补丁；完全 http smuggle 修复；用于测试的补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
85476	Fedora 22：golang-1.4.2-3.fc22 (2015-13002)	Nessus	Fedora Local Security Checks	2015/8/18	2021/1/11	critical
92596	openSUSE 安全更新：go (openSUSE-2016-907)	Nessus	SuSE Local Security Checks	2016/7/28	2021/1/19	critical
92693	RHEL 7：golang (RHSA-2016:1538)	Nessus	Red Hat Local Security Checks	2016/8/3	2019/10/24	critical
85641	FreeBSD：go -- 多种漏洞 (4464212e-4acd-11e5-934b-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/8/26	2021/1/6	critical
85471	Fedora 21：golang-1.4.2-3.fc21 (2015-12957)	Nessus	Fedora Local Security Checks	2015/8/18	2021/1/11	critical
86232	Fedora 22：golang-1.5.1-0.fc22 (2015-15619)	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	critical
261088	Linux Distros 未修补的漏洞：CVE-2015-5739	Nessus	Misc.	2025/9/3	2025/9/14	critical
85633	Amazon Linux AMI：golang/docker (ALAS-2015-588)	Nessus	Amazon Linux Local Security Checks	2015/8/26	2018/11/19	critical
86231	Fedora 21：golang-1.5.1-0.fc21 (2015-15618)	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	critical
92680	CentOS 7：golang (CESA-2016:1538)	Nessus	CentOS Local Security Checks	2016/8/3	2021/1/4	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical