Amazon Linux AMI：golang（ALAS-2018-1130）
high Nessus プラグイン ID 119689
Language:
概要
リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。説明
1.10.6より前、および1.11.3より前の1.11.xのGoでは、-uフラグと悪意のあるGoパッケージ（または、それを直接または間接的にインポートするパッケージ）のインポートパスを指定して実行した場合、「go get」コマンドにリモートでコードが実行される脆弱性があります。具体的には、GOPATHモードでのみ脆弱となり、モジュールモードでは脆弱ではありません（この区別については、https://golang.org/cmd/go/#hdr-Module_aware_go_getを参照してください）カスタムドメインを使用すると、「/.git」で終わるバニティインポートパスを使用して「.git」という名前のフォルダに、Gitリポジトリが複製されるようにすることができます。Gitリポジトリのrootに「HEAD」ファイル、「config」ファイル、「objects」ディレクトリ、「refs」ディレクトリが含まれている場合は、適切な順番で動作するように工夫することにより、「go get -u」は親ディレクトリをリポジトリのrootと誤って認識し、その認識のもとにGitコマンドを実行するように誘導される可能性があります。このとき、元のGitリポジトリのrootにある「config」ファイルが構成に使用されるため、その構成ファイルに悪意のあるコマンドが含まれている場合、「go get -u」を実行しているシステムで実行されます。（CVE-2018-16873）1.10.6より前、および1.11.3より前の1.11.xのGoのcrypto/x509パッケージでは、各チェーン検証で実行される作業量が制限されていないため、攻撃者が異常な入力を作成し、CPUにサービス拒否を引き起こす可能性があります。クライアント証明書を受け入れるGo TLSサーバーとTLSクライアントが影響を受けます。（CVE-2018-16875）1.10.6より前、および1.11.3より前の1.11.xのGoでは、波括弧（「{」および「}」の両方の文字）を含む悪意のあるGoパッケージのインポートパスを使用して実行したとき、「go get」コマンドにディレクトリトラバーサルの脆弱性があります。具体的には、GOPATHモードでのみ脆弱となり、モジュールモードでは脆弱ではありません（この区別については、https://golang.org/cmd/go/#hdr-Module_aware_go_getを参照してください）攻撃者は任意のファイルシステムへの書き込みを引き起こすことができ、それによってコードが実行される可能性があります。（CVE-2018-16874）ソリューション
「yum update golang」を実行してシステムを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 119689
ファイル名: ala_ALAS-2018-1130.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
公開日: 2018/12/17
更新日: 2020/3/27
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2018-16874
CVSS v3
リスクファクター: High
基本値: 8.1
現状値: 7.1
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:golang, p-cpe:/a:amazon:linux:golang-bin, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-race, p-cpe:/a:amazon:linux:golang-src, p-cpe:/a:amazon:linux:golang-tests, cpe:/o:amazon:linux
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2018/12/14
脆弱性公開日: 2018/12/14
参照情報
CVE: CVE-2018-16873, CVE-2018-16874, CVE-2018-16875
ALAS: 2018-1130