FreeBSD：go -- 複数の脆弱性（079b3641-c4bd-11eb-a22a-693f0544ae52）

high Nessus プラグイン ID 150273

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

Goプロジェクトによる報告：

math/big.RatのSetStringおよびUnmarshalTextメソッドは、非常に大きな指数を持つ入力を受け渡した場合、パニックまたは回復不能な致命的エラーを引き起こす可能性があります。

net/http/httputilのリバースプロキシが、接続を含む特定のホップバイホップヘッダーが転送されるようにする可能性があります。ReverseProxyのターゲット自体がリバースプロキシである場合、これによって攻撃者が、ReverseProxy.Directorによって設定されたものを含む、任意のヘッダーをドロップする可能性があります。

netのLookupCNAME、LookupSRV、LookupMX、LookupNS、LookupAddrの関数と、Resolverタイプのそれぞれのメソッドが、DNSから取得し、ドメイン名に対して確立されたRFC 1035ルールに従わない任意の値を返す可能性があります。これらの名前が、サニタイズされずに使用されると（たとえば、HTMLに安全でない方法で含まれる）、予期しないコンテンツが注入される可能性があります。LookupTXTが任意の値を返すことがあるため、今後使用するにはサニタイズが必要な場合があります。

アーカイブ/zip内のNewReaderおよびOpenReader関数は、実際のサイズに関係なく、多数のファイルが含まれていると主張するアーカイブを読み取る際に、パニックまたは回復不能な致命的エラーを引き起こす可能性があります。