FreeBSD: go -- 無効なヘッダーが正規化され、リクエストのスマグリングが可能になります（a92dcc5c-e05c-11e9-b589-10c37b4ac2ea）

high Nessus プラグイン ID 129426

Language:

概要

リモートのFreeBSDホストに1つ以上のセキュリティ関連の更新プログラムがありません。

説明

Goプロジェクトによる報告:

RFC 7230に違反して、net/http（net/textproto経由）は、コロンの前にスペースがある無効なHTTP/1.1ヘッダーを受け入れたり、正規化したりしていました。Goサーバーが、そのような無効なヘッダーを受け入れて転送するが正規化しないリバースプロキシの背後で使用される場合、リバースプロキシとサーバーはヘッダーを異なる方法で解釈する可能性があります。これにより、フィルターバイパスまたはリクエストスマグリングが発生する可能性があります。別のクライアントからのリクエストがプロキシによって同じ接続に多重化されている場合、後者が発生します。このような無効なヘッダーは、Goサーバーによって拒否され、正規化せずにGoクライアントアプリケーションに渡されるようになりました。