リモートの Debian 9 ホストには、dla-2986 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Go の 1.16.14 より前および 1.17.7 より前の 1.17.x の math/big の Rat.SetString には、オーバーフローがあり、制御されないメモリ消費が発生する可能性があります。(CVE-2022-23772)

  - Go の 1.16.14 および 1.17.7 より前の 1.17.x の crypto/elliptic の Curve.IsOnCurve が、有効なフィールド要素ではない big.Int 値を持つ状況で、誤って true を返す可能性があります。(CVE-2022-23806)

  - Go 1.16.15 より前および 1.17.8 より前の 1.17.x の前の regexp.Compile により、深くネスト化された式を介して、スタックの枯渇が可能となっています。(CVE-2022-24921)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-2986-1 : golang-1.8 - LTS セキュリティ更新

critical Nessus プラグイン ID 160303

変更ログが見つかりません