RHEL 7：go-toolset-7、go-toolset-7-golang（RHSA-2017:3463）
critical Nessus プラグイン ID 105367
Language:
概要
リモート Red Hat ホストに、go-toolset-7 / go-toolset-7-golang の 1 つ以上のセキュリティ更新がありません。説明
リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:3463 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Go Toolset は、Go プログラミング言語のツールとライブラリを提供します。Go は golang としても知られています。
セキュリティ修正プログラム:
* Goのgo getコマンドがソースコードリポジトリのチェックアウトを処理する方法に、任意のコマンド実行の欠陥が見つかりました。悪意のあるリポジトリをホストできるリモートの攻撃者が、この欠陥を利用して、クライアント側で任意のコマンドを実行する可能性があります。 （CVE-2017-15041）
* Goのsmtp.PlainAuth認証方式でTLS要件が適切に検証されていないことがわかりました。リモートの中間者攻撃者が、この欠陥を利用して、Goアプリケーションから送信されたSMTP認証情報を盗聴する可能性があります。 （CVE-2017-15042）
バグ修正:
* 以前は、go-toolset-7 ソフトウェアコレクションの有効化スクリプトが、GOPATH 環境変数を、書き込み操作に root 権限を必要とするディレクトリに不適切に設定していました。その結果、特定のコマンドを実行したときにgoコンパイラが予期せず終了しました。有効化スクリプトは、GOPATH を正しく処理するように変更されており、説明されている問題は発生しなくなりました。 （BZ#1512013）
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
RHEL go-toolset-7 / go-toolset-7-golang パッケージを、RHSA-2017:3463 のガイダンスに基づいて更新してください。参考資料
http://www.nessus.org/u?3c1ca778
https://access.redhat.com/errata/RHSA-2017:3463
https://access.redhat.com/security/updates/classification/#moderate
プラグインの詳細
深刻度: Critical
ID: 105367
ファイル名: redhat-RHSA-2017-3463.nasl
バージョン: 3.10
タイプ: local
エージェント: unix
公開日: 2017/12/19
更新日: 2025/4/15
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2017-15041
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:go-toolset-7-runtime, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-dockerfiles, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang-docs, p-cpe:/a:redhat:enterprise_linux:go-toolset-7, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang-src, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang-tests, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang-bin, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang-misc, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-build, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-golang-race, p-cpe:/a:redhat:enterprise_linux:go-toolset-7-scldevel
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2017/12/14
脆弱性公開日: 2017/10/5
参照情報
CVE: CVE-2017-15041, CVE-2017-15042