リモートのOracle Linux 8ホストに、ELSA-2020-3665アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Go 1.13.15より前と1.14.7 より前の14.xでは、無効な入力を介したエンコーディング/バイナリのReadUvarintとReadVarintで無限読み取りループが発生する可能性があります。（CVE-2020-16845）

  - Go用の0.3.3より前のx/textパッケージには、エンコーディング/ユニコードの脆弱性があります。そのため、UTF-16デコーダーが無限ループに陥り、プログラムがクラッシュしたり、メモリが不足する可能性があります。攻撃者は、UseBOMまたはExpectBOMでインスタンス化されたUTF16デコーダーに、デコーダーでString関数が呼び出されるか、デコーダーがgolang.org/x/text/transform.Stringに渡された場合に無限ループをトリガーする単一バイトを渡すことができます。（CVE-2020-14040）

  - Go 1.13.13より前と1.14.5より前の1.14.xでは、httputil.ReverseProxyハンドラーで実証されたように、一部のnet/httpサーバでデータレースが発生します。これは、リクエスト本文を読み取ると同時に応答を書き込むためです。
    （CVE-2020-15586）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 8：go-toolset: ol8（ELSA-2020-3665）

high Nessus プラグイン ID 140524

変更ログが見つかりません