リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS-2020-1436のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go用の0.3.3より前のx/textパッケージには、エンコーディング/ユニコードの脆弱性があります。これにより、UTF-16デコーダーが無限ループに陥り、プログラムがクラッシュしたり、メモリが不足する可能性があります。攻撃者は、UseBOMまたはExpectBOMでインスタンス化されたUTF16デコーダーに、デコーダーでString関数が呼び出されるか、デコーダーがgolang.org/x/text/transform.Stringに渡された場合に無限ループをトリガーする単一バイトを渡すことができます。（CVE-2020-14040）

  - Go 1.13.15より前と1.14.7 より前の14.xでは、無効な入力を介したエンコーディング/バイナリのReadUvarintとReadVarintで無限読み取りループが発生する可能性があります。（CVE-2020-16845）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux AMI: golang（ALAS-2020-1436）

high Nessus プラグイン ID 141969

変更ログが見つかりません