Go 编程语言中发现未接受并标准化冒号前带有空格的无效 HTTP/1.1 标头，可能会造成某些设置中的筛选器绕过或请求走私。

在 Go 编程语言中发现多个漏洞。攻击者可触发拒绝服务 (DoS)、绕过访问控制，并在开发人员的计算机上执行任意代码。

CVE-2017-15041

Go 允许执行“go get”远程命令。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。

CVE-2018-16873

使用 -u 标记和恶意 Go 程序包的导入路径执行时，“go get”命令容易受到远程代码执行漏洞的影响，这是因为它可能将父目录视为包含恶意配置的 Git 存储库根。

CVE-2018-16874

“go get”命令在使用含有大括号（“{’ 和 ‘}”字符）的恶意 Go 程序包导入路径执行时，容易受到目录遍历影响。攻击者可造成任意文件系统写入，进而可能导致代码执行。

CVE-2019-9741

在 net/http 中，若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 http.NewRequest 的第二个参数，随后是 HTTP 标头或 Redis 命令即为一例。

CVE-2019-16276

Go 允许 HTTP 请求走私。

CVE-2019-17596

在尝试处理包含无效 DSA 公钥的网络流量时，Go 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。

CVE-2021-3114

在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。

对于 Debian 9 Stretch，已在版本 1.7.4-2+deb9u3 中修复这些问题。

我们建议您升级 golang-1.7 程序包。

如需了解 golang-1.7 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-1.7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0101 公告中提及的多个漏洞的影响。

  - golang：冒号前有空格的 HTTP/1.1 标头导致过滤器绕过或请求走私 (CVE-2019-16276)

  - golang：无效公钥导致 dsa.Verify 中发生错误 (CVE-2019-17596)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-4816 公告中提及的多个漏洞影响。

  - 在 Kubernetes v1.8.x-v1.14.x 中，kubectl 使用全局可写权限 (rw-rw-rw-)，在由 --cache-dir 指定的位置（默认为 $HOME/.kube/http-cache）缓存了方案信息。如果 --cache-dir 已指定并指向其他用户/群组可访问的其他位置，则其他用户/群组可能会修改写入的文件并中断 kubectl 调用。(CVE-2019-11244)

  - 某些 HTTP/2 实现容易受到 ping 洪流攻击，可能导致拒绝服务。攻击者向 HTTP/2 对等体发送连续 ping，导致对等体构建内部响应队列。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。
    (CVE-2019-9512)

  - kubectl cp 命令允许在容器与用户计算机之间复制文件。如要从容器复制文件，Kubernetes 会在容器内运行 tar 以创建 tar 存档，通过网络复制此 tar 存档，然后 kubectl 会在用户的计算机上对其进行解包。如果容器中的 tar 二进制文件为恶意文件，它便可运任意何代码并输出意外的恶意结果。在调用 kubectl cp 时，攻击者可利用此问题将文件写入用户计算机上的任何路径，具体操作仅受本地用户的系统权限限制。受影响的 Kubernetes 版本包括 1.12.9 之前的版本、1.13.6 之前的版本、1.14.2 之前的版本，以及版本 1.1、1.2、1.4、1.4、1.5、1.6、1.7、1.8、1.9、1.10、1.11。 (CVE-2019-11246)

  - 版本 1.1-1.12 以及低于 1.13.11、1.14.7 和 1.15.4 版本中的 Kubernetes kubectl cp 命令允许恶意容器的 tar 输出提供的两个符号链接组合，以将文件放在于 kubectl cp 调用中指定的目标目录之外。攻击者可利用此漏洞，以使用符号链接将恶意文件放在目标树之外。(CVE-2019-11251)

  - 如果攻击者发出请求，如同资源是命名空间一样，则 Kubernetes kube-apiserver 会错误地允许访问群集范围的自定义资源。可以使用命名空间内的角色和角色绑定，对以这种方式访问的资源进行强制授权，这意味着只能访问一个名称空间中的资源的用户可以创建、查看、更新或删除群集范围的资源（根据其名称空间角色特权）。受影响的 Kubernetes 版本包括 1.13.9 之前的版本、1.14.5 之前的版本、1.15.2 之前的版本，以及版本 1.7、1.8、1.9、1.10、1.11、1.12。(CVE-2019-11247)

  - kubectl cp 命令允许在容器与用户计算机之间复制文件。如要从容器复制文件，Kubernetes 会在容器内运行 tar 以创建 tar 存档，通过网络复制此 tar 存档，然后 kubectl 会在用户的计算机上对其进行解包。如果容器中的 tar 二进制文件为恶意文件，它便可运任意何代码并输出意外的恶意结果。在调用 kubectl cp 时，攻击者可利用此问题将文件写入用户计算机上的任何路径，具体操作仅受本地用户的系统权限限制。受影响的 Kubernetes 版本包括 1.13.9 之前的版本、1.14.5 之前的版本、1.15.2 之前的版本，以及版本 1.1、1.2、1.4、1.4、1.5、1.6、1.7、1.8、1.9、1.10、1.11、1.12。
    (CVE-2019-11249)

  - 1.12.10 之前版本的 Go 和 1.13.1 之前版本的 1.13.x 允许 HTTP 请求走私。 (CVE-2019-16276)

  - 在 v1.0-1.12 版本和低于 v1.13.12、v1.14.8、v1.15.5 和 v1.16.2 的版本中，Kubernetes API 服务器中存在不当输入验证，这让经过授权的用户可以发送恶意 YAML 或 JSON 负载，导致 API 服务器消耗过量 CPU 或内存，从而导致崩溃并无法使用。
    在 v1.14.0 之前的版本中，默认 RBAC 策略授权匿名用户提交可触发此漏洞的请求。从 v1.14.0 之前版本升级的集群会默认保留更宽松的策略，以保证向后兼容性。(CVE-2019-11253)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 golang 版本低于 1.13.4-1。因此，该应用程序受到 ALAS2-2024-2545 公告中提及的漏洞的影响。

  - 在尝试处理包含无效 DSA 公钥的网络流量时，1.12.11 之前版本的 Go 和 1.13.2 之前版本的 1.3.x 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。(CVE-2019-17596)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在 Go 编程语言中发现多个漏洞。攻击者可触发拒绝服务 (DoS)、绕过访问控制，并在开发人员的计算机上执行任意代码。

CVE-2017-15041

Go 允许执行“go get”远程命令。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。

CVE-2018-16873

使用 -u 标记和恶意 Go 程序包的导入路径执行时，“go get”命令容易受到远程代码执行漏洞的影响，这是因为它可能将父目录视为包含恶意配置的 Git 存储库根。

CVE-2018-16874

“go get”命令在使用含有大括号（“{’ 和 ‘}”字符）的恶意 Go 程序包导入路径执行时，容易受到目录遍历影响。攻击者可造成任意文件系统写入，进而可能导致代码执行。

CVE-2019-9741

在 net/http 中，若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 http.NewRequest 的第二个参数，随后是 HTTP 标头或 Redis 命令即为一例。

CVE-2019-16276

Go 允许 HTTP 请求走私。

CVE-2019-17596

在尝试处理包含无效 DSA 公钥的网络流量时，Go 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。

CVE-2021-3114

在 P-224 字段进行最终完整还原的过程中，crypto/elliptic/p224.go 可能会生成不正确的输出，这与最低分支下溢有关。

对于 Debian 9 Stretch，已在版本 1.8.1-1+deb9u3 中修复这些问题。

我们建议您升级 golang-1.8 程序包。

如需了解 golang-1.8 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-1.8

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

发现 golang 中的 net/http（通过 net/textproto）未正确解释 HTTP 请求，其中 HTTP 标头在冒号前包含空格。若代理或防火墙放置在 Go 中实现的服务器之后，此问题可遭到攻击者滥用，进而走私 HTTP 请求或过滤绕过（取决于特定网络配置）。(CVE-2019-16276)

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-0329 公告中提及的多个漏洞的影响。

  - 1.12.10 之前版本的 Go 和 1.13.1 之前版本的 1.13.x 允许 HTTP 请求走私。 (CVE-2019-16276)

  - 在尝试处理包含无效 DSA 公钥的网络流量时，1.12.11 之前版本的 Go 和 1.13.2 之前版本的 1.3.x 可能发生错误。存在多种攻击场景，例如从客户端到服务器的流量将验证客户端证书。(CVE-2019-17596)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

根据其自我报告的版本远程主机上运行的 Tenable Sensor Proxy 版本低于 1.2.0。因此，该软件受到 TNS-2025-08 公告中提及的多个漏洞影响。

  - 1.12.10 之前版本的 Go 和 1.13.1 之前版本的 1.13.x 允许 HTTP 请求走私。 (CVE-2019-16276)

  - 越界内存写入可导致应用程序崩溃甚至可能导致远程代码执行但是在我们知道的所有涉及椭圆曲线加密的协议中要么仅支持“named curve”要么支持明确曲线参数时指定无法表示有问题输入值的二进制 (GF(2^m)) 曲线的 X9.62 编码。因此，存在易受攻击的应用程序的可能性很低。特别是，X9.62 编码用于 X.509 证书中的 ECC 密钥，因此处理 X.509 证书的上下文中不会发生有问题的输入。任何有问题的用例都必须使用“exotic”曲线编码。受影响的 API包括EC_GROUP_new_curve_GF2m()、EC_GROUP_new_from_params() 以及各种支持 BN_GF2m_*() 函数。使用通过上述 API 或类似 API 使用“特殊”显式二进制 (GF(2^m)) 曲线参数从而能够以零常数项表示无效现场多项式的应用程序可能由于读取或解析而突然终止。越界写入。无法轻易排除执行远程代码的可能性。3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题影响。(CVE-2024-9143)

  - ECDSA 签名计算中存在时序边信道可允许攻击者恢复私钥。但是，测量时序需要对签名应用程序进行本地访问，或者需要具有低延迟且非常快速的网络连接。当 top word ofthe inverted ECDSA nonce 值为 0 时，会出现约 300 纳秒的计时信号。只有在某些受支持的椭圆曲线上发生这种情况的可能性才较大。尤其是 NIST P-521 曲线会受到影响。为了能够测量此泄漏，攻击者进程必须位于同一台物理计算机中，或必须具有低延迟的极快网络连接。因此，此漏洞的严重性为低危。3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块受此问题影响。(CVE-2024-13176)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0329 公告中提及的多个漏洞的影响。

  - golang：冒号前有空格的 HTTP/1.1 标头导致过滤器绕过或请求走私 (CVE-2019-16276)

  - golang：无效公钥导致 dsa.Verify 中发生错误 (CVE-2019-17596)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 0329 公告中提及的多个漏洞的影响。

  - golang：冒号前有空格的 HTTP/1.1 标头导致过滤器绕过或请求走私 (CVE-2019-16276)

  - golang：无效公钥导致 dsa.Verify 中发生错误 (CVE-2019-17596)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

发现 golang 中的 net/http（通过 net/textproto）未正确解释 HTTP 请求，其中 HTTP 标头在冒号前包含空格。当代理或防火墙放置在 Go 中实现的服务器，此问题可遭到攻击者滥用以走私 HTTP 请求或过滤绕过（取决于特定网络配置）。(CVE-2019-16276)

发现 golang 中的 net/http（通过 net/textproto）未正确解释 HTTP 请求，其中 HTTP 标头在冒号前包含空格。当代理或防火墙放置在 Go 中实现的服务器，此问题可遭到攻击者滥用以走私 HTTP 请求或过滤绕过（取决于特定网络配置）。(CVE-2019-16276) 1.12.10 和 1.13.1 之前的 1.13.x 版本的 Go 允许 HTTP 请求走私。(CVE-2019-16276)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.12.10 之前版本的 Go 和 1.13.1 之前版本的 1.13.x 允许 HTTP 请求走私。 (CVE-2019-16276)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
129412	Debian DSA-4534-1：golang-1.11 - 安全更新	Nessus	Debian Local Security Checks	2019/9/30	2020/10/9	high
147797	Debian DLA-2591-1：golang-1.7 安全更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
132948	RHEL 7：go-toolset-1.12-golang (RHSA-2020: 0101)	Nessus	Red Hat Local Security Checks	2020/1/16	2024/11/7	high
180704	Oracle Linux 7：kubernetes (ELSA-2019-4816)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
197112	Amazon Linux 2 : golang (ALAS-2024-2545)	Nessus	Amazon Linux Local Security Checks	2024/5/15	2024/12/11	high
147800	Debian DLA-2592-1：golang-1.8 安全更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
133093	Amazon Linux 2 : golang (ALAS-2020-1383)	Nessus	Amazon Linux Local Security Checks	2020/1/21	2024/12/11	high
140032	Oracle Linux 8：go-toolset: ol8 (ELSA-2020-0329)	Nessus	Oracle Linux Local Security Checks	2020/8/28	2024/11/1	high
235604	Tenable Sensor Proxy < 1.2.0 多个漏洞 (TNS-2025-08)	Nessus	Misc.	2025/5/8	2025/5/8	high
131241	Amazon Linux AMI：golang (ALAS-2019-1321)	Nessus	Amazon Linux Local Security Checks	2019/11/25	2020/10/9	high
133478	RHEL 8：go-toolset：rhel8 (RHSA-2020: 0329)	Nessus	Red Hat Local Security Checks	2020/2/5	2024/11/7	high
145950	CentOS 8：go-toolset: rhel8 (CESA-2020: 0329)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
130231	Amazon Linux 2 : golang (ALAS-2019-1335)	Nessus	Amazon Linux Local Security Checks	2019/10/25	2020/10/9	high
133006	Amazon Linux AMI : golang (ALAS-2020-1336)	Nessus	Amazon Linux Local Security Checks	2020/1/17	2024/12/11	high
222479	Linux Distros 未修补的漏洞: CVE-2019-16276	Nessus	Misc.	2025/3/4	2025/8/18	high

检测

插件搜索

high

critical

high

high

high

critical

high

high

high

high

high

high

high

high

high