Debian DLA-2485-1 :golang-golang-x-net-devセキュリティ更新（Ping Flood）（Reset Flood）

high Nessus プラグイン ID 143594

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

このパッケージのhttp2サーバーサポートは、特定のタイプのDOS攻撃に脆弱でした。

CVE-2019-9512

このコードは、pingフラッドに対して脆弱であり、サービス拒否が発生する可能性があります。攻撃者はHTTP/2ピアに継続的にpingを送信し、ピアに応答の内部キューをビルドさせます。
このデータを効率的にキューに入れる方法によって、CPU、メモリ、またはその両方が過剰に消費される可能性があります。

CVE-2019-9514

このコードは、リセットフラッドに対して脆弱であり、サービス拒否が発生する可能性があります。攻撃者は多数のストリームを開き、各ストリームで、ピアからRST_STREAMフレームのストリームを要求する無効なリクエストを送信します。ピアがRST_STREAMフレームをキューに入れる方法によって、メモリ、CPU、またはその両方が過剰に消費される可能性があります。

Debian 9 'Stretch'では、これらの問題はバージョン1:0.0+git20161013.8b4af36+dfsg-3+deb9u1で修正されています。

golang-golang-x-net-devパッケージをアップグレードすることを推奨します。

golang-golang-x-net-devの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/golang-golang-x-net-dev

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。