1.10.6より前、および1.11.3より前の1.11.xのGoでは、-uフラグと悪意のあるGoパッケージ（または、それを直接または間接的にインポートするパッケージ）のインポートパスを指定して実行した場合、「go get」コマンドにリモートでコードが実行される脆弱性があります。具体的には、GOPATHモードでのみ脆弱となり、モジュールモードでは脆弱ではありません（この区別については、https://golang.org/cmd/go/#hdr-Module_aware_go_getを参照してください）カスタムドメインを使用すると、「/.git」で終わるバニティインポートパスを使用して「.git」という名前のフォルダに、Gitリポジトリが複製されるようにすることができます。Gitリポジトリのrootに「HEAD」ファイル、「config」ファイル、「objects」ディレクトリ、「refs」ディレクトリが含まれている場合は、適切な順番で動作するように工夫することにより、「go get -u」は親ディレクトリをリポジトリのrootと誤って認識し、その認識のもとにGitコマンドを実行するように誘導される可能性があります。このとき、元のGitリポジトリのrootにある「config」ファイルが構成に使用されるため、その構成ファイルに悪意のあるコマンドが含まれている場合、「go get -u」を実行しているシステムで実行されます。（CVE-2018-16873）1.10.6より前、および1.11.3より前の1.11.xのGoのcrypto/x509パッケージでは、各チェーン検証で実行される作業量が制限されていないため、攻撃者が異常な入力を作成し、CPUにサービス拒否を引き起こす可能性があります。クライアント証明書を受け入れるGo TLSサーバーとTLSクライアントが影響を受けます。（CVE-2018-16875）1.10.6より前、および1.11.3より前の1.11.xのGoでは、波括弧（「{」および「}」の両方の文字）を含む悪意のあるGoパッケージのインポートパスを使用して実行したとき、「go get」コマンドにディレクトリトラバーサルの脆弱性があります。具体的には、GOPATHモードでのみ脆弱となり、モジュールモードでは脆弱ではありません（この区別については、https://golang.org/cmd/go/#hdr-Module_aware_go_getを参照してください）攻撃者は任意のファイルシステムへの書き込みを引き起こすことができ、それによってコードが実行される可能性があります。（CVE-2018-16874）

検出

Amazon Linux AMI：golang（ALAS-2018-1130）

high Nessus プラグイン ID 119689

変更ログが見つかりません