远程主机受到 GLSA-201710-23 中所述漏洞的影响（Go：多个漏洞）在 Go 中发现多个漏洞。请检查下面的参考以了解详细信息。影响：远程攻击者可执行任意 Go 命令或发动中间人攻击。解决方法：目前无任何已知的解决方法。

golang 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

golang 程序包提供 Go 编程语言编译器。

下列程序包已升级到更高的上游版本：
golang (1.9.4)。 （BZ#1479095， BZ#1499827）

安全修复：

* golang：'go get' 或 'go get -d' 期间的任意代码执行（CVE-2017-15041）

* golang：smtp.PlainAuth 容易受到中间人密码收集的影响（CVE-2017-15042）

* golang：在 'go get' 期间通过 C 编译器选项执行任意代码(CVE-2018-6574)

有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

更多变更：

如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.5 版本说明。

Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。对于 Debian 7“Wheezy”，这些问题已在 2:1.0.2-1.1+deb7u2 版本中修复。我们建议您升级 golang 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 go get 或 go get -d 期间发现任意代码执行：Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Go 之前的 1.8.4 和 1.9.x 之前的 1.9.1 允许 go get 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中包含 Git 签出并且已完成一些其他工作以确保操作顺序正确则可能会诱骗 go get 重新使用此 Git 签出以从 pkg2 提取代码。如果 Subversion 存储库的 Git 检出 .git/hooks/ 中有恶意命令则这些命令将在运行 go get 的系统上执行。
    (CVE-2017-15041)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 golang 程序包：- Go 的 go get 命令处理源代码存储库检出的方式中发现任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2017-15041) - 据发现，Go 中的 smtp.PlainAuth 验证方案未正确验证 TLS 要求。远程中间人攻击者可能利用此缺陷找到 Go 应用程序发送的 SMTP 凭证。(CVE-2017-15042) - 在构建期间，Go 的 go get 命令处理 gcc 和 clang 敏感选项的方式中发现一个任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2018-6574) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

在 go get 或 go get -d 期间发现任意代码执行。Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042) 通过 C 编译器选项进行 'go get' 期间发生任意代码执行。在创建期间，Go 的 'go get' 命令处理 gcc 和 clang 敏感选项的方式中发现一个任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2018-6574)

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2017:3463 公告中提及的多个漏洞的影响。

    Go Toolset 提供 Go 编程语言工具及库。Go 又称为 golang。

    安全修复：

    * 在 Go 的 go get 命令处理源代码存储库检出的方式中发现任意命令执行缺陷。能够托管恶意存储库的远程攻击者可能会利用此缺陷在客户端上造成任意命令执行。 (CVE-2017-15041)

    * 据发现，Go 中的 smtp.PlainAuth 验证方案未正确验证 TLS 请求。远程中间人攻击者可能利用此缺陷来嗅探由 Go 应用程序发送的 SMTP 凭据。 (CVE-2017-15042)

    错误修复：

    * 此前，go-toolset-7 Software Collection 的启用脚本错误地将 GOPATH 环境变量设定到需要 root 权限才能执行写入操作的目录。因此，go 编译器会在执行特定命令时意外终止。启用脚本已更改，可以正确处理 GOPATH，而且所述问题不再发生。 (BZ#1512013)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Go 编程语言中发现多个漏洞。攻击者可触发拒绝服务 (DoS)、绕过访问控制，并在开发人员的计算机上执行任意代码。

CVE-2017-15041

Go 允许执行“go get”远程命令。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。

CVE-2018-16873

使用 -u 标记和恶意 Go 程序包的导入路径执行时，“go get”命令容易受到远程代码执行漏洞的影响，这是因为它可能将父目录视为包含恶意配置的 Git 存储库根。

CVE-2018-16874

“go get”命令在使用含有大括号（“{’ 和 ‘}”字符）的恶意 Go 程序包导入路径执行时，容易受到目录遍历影响。攻击者可造成任意文件系统写入，进而可能导致代码执行。

CVE-2019-9741

在 net/http 中，若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 http.NewRequest 的第二个参数，随后是 HTTP 标头或 Redis 命令即为一例。

CVE-2019-16276

Go 允许 HTTP 请求走私。

CVE-2019-17596

在尝试处理包含无效 DSA 公钥的网络流量时，Go 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。

CVE-2021-3114

在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。

对于 Debian 9 Stretch，已在版本 1.7.4-2+deb9u3 中修复这些问题。

我们建议您升级 golang-1.7 程序包。

如需了解 golang-1.7 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-1.7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

golang 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。golang 程序包提供 Go 编程语言编译器。下列程序包已升级到更新的上游版本： golang (1.9.4)。(BZ#1479095, BZ#1499827) 安全修复：* golang：'go get' 或 'go get -d' 中存在任意代码执行 (CVE-2017-15041) * golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) * golang：通过 C 编译器选项的 ‘go get’ 中存在任意代码执行 (CVE-2018-6574) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.5 版本说明。

下列程序包已升级到更新的上游版本： golang (1.9.4)。安全修复：- golang：“go get”或“go get -d”中存在任意代码执行 (CVE-2017-15041) - golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) - golang：“go get”期间通过 C 编译器选项执行任意代码 (CVE-2018-6574) 其他变更：

在 Go 编程语言中发现多个漏洞。攻击者可触发拒绝服务 (DoS)、绕过访问控制，并在开发人员的计算机上执行任意代码。

CVE-2017-15041

Go 允许执行“go get”远程命令。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。

CVE-2018-16873

使用 -u 标记和恶意 Go 程序包的导入路径执行时，“go get”命令容易受到远程代码执行漏洞的影响，这是因为它可能将父目录视为包含恶意配置的 Git 存储库根。

CVE-2018-16874

“go get”命令在使用含有大括号（“{’ 和 ‘}”字符）的恶意 Go 程序包导入路径执行时，容易受到目录遍历影响。攻击者可造成任意文件系统写入，进而可能导致代码执行。

CVE-2019-9741

在 net/http 中，若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 http.NewRequest 的第二个参数，随后是 HTTP 标头或 Redis 命令即为一例。

CVE-2019-16276

Go 允许 HTTP 请求走私。

CVE-2019-17596

在尝试处理包含无效 DSA 公钥的网络流量时，Go 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。

CVE-2021-3114

在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。

对于 Debian 9 Stretch，已在版本 1.8.1-1+deb9u3 中修复这些问题。

我们建议您升级 golang-1.8 程序包。

如需了解 golang-1.8 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-1.8

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
104066	GLSA-201710-23：Go：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/23	2021/1/11	critical
109376	CentOS 7：golang (CESA-2018:0878)	Nessus	CentOS Local Security Checks	2018/4/27	2024/10/22	critical
104220	Debian DLA-1148-1：golang 安全更新	Nessus	Debian Local Security Checks	2017/10/30	2021/1/11	critical
104392	Amazon Linux AMI : golang (ALAS-2017-918)	Nessus	Amazon Linux Local Security Checks	2017/11/6	2018/4/18	critical
260871	Linux Distros 未修补的漏洞：CVE-2017-15041	Nessus	Misc.	2025/9/3	2025/9/3	critical
127229	NewStart CGSL CORE 5.04 / MAIN 5.04：golang 多个漏洞 (NS-SA-2019-0047)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/8	critical
109690	Amazon Linux 2：golang (ALAS-2018-1011)	Nessus	Amazon Linux Local Security Checks	2018/5/11	2024/10/9	critical
105367	RHEL 7：go-toolset-7 和 go-toolset-7-golang (RHSA-2017:3463)	Nessus	Red Hat Local Security Checks	2017/12/19	2025/4/15	critical
147797	Debian DLA-2591-1：golang-1.7 安全更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
108990	RHEL 7 : golang (RHSA-2018:0878)	Nessus	Red Hat Local Security Checks	2018/4/11	2025/3/20	critical
109448	Scientific Linux 安全更新：SL7.x 中的 golang (noarch)	Nessus	Scientific Linux Local Security Checks	2018/5/1	2024/10/16	critical
147800	Debian DLA-2592-1：golang-1.8 安全更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical