Amazon Linux 2：golang (ALAS-2022-1830)
critical Nessus プラグイン ID 163918
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされているgolangのバージョンは1.18.3-1より前のです。したがって、ALAS2-2022-1830 のアドバイザリに記載されている複数の脆弱性の影響を受けます。- Go の v0.0.0-20201203163018-be400aefbc4c までの golang.org/x/crypto/ssh コンポーネントの nil ポインターデリファレンスにより、リモート攻撃者が SSH サーバーに対してサービス拒否を引き起こす可能性があります。(CVE-2020-29652)
- カスタムの TokenReader (xml.NewTokenDecoder 用) が要素の途中で EOF を返す場合、1.15.9 より前の Go および1.16.1より前の1.16.x の encoding/xml に無限ループがあります。これは、Decode、DecodeElement、または Skip メソッドで発生する可能性があります。(CVE-2021-27918)
- 1.16.1 より前の Go 1.16.x の archive/zip では、攻撃者が、任意のファイル名の先頭に ../ が存在する ZIP アーカイブに対して Reader.Open API を使用しようとすると、サービス拒否 (パニック) を引き起こす可能性があります。(CVE-2021-27919)
- 1.15.13 より前の Go および 1.16.5 より前の 1.16.x には、DNS サーバーからの応答を検証しない DNS 検索用の関数があるため、戻り値に RFC1035 形式に準拠しない安全でない注入 (XSS など) が含まれる可能性があります。(CVE-2021-33195)
- 1.16.5より前の1.15.13および 1.16.xの Go において、ReverseProxy (net/http/httputil からの) の構成の一部は、攻撃者が任意のヘッダーをドロップできる状況に陥ります。
(CVE-2021-33197)
- 1.16.5より前の1.15.13および1.16.xの Go において、math/big.Rat SetString または UnmarshalText メソッドに対して大きな指数が入力された場合パニックが発生する可能性があります。(CVE-2021-33198)
- 1.15.15より前の Go および1.16.7より前の1.16.xでは、競合状態があり、ErrAbortHandler の中止時に、net/http/httputil ReverseProxy パニックに至る可能性があります。(CVE-2021-36221)
- GOARCH=wasm GOOS=js が使用されている場合、WASM モジュールからの関数呼び出しで、1.16.9 より前の Go および 1.17.2 より前の 1.17.x に大きな引数を介した、バッファオーバーフローがあります。(CVE-2021-38297)
- 1.16.8より前の Go および 1.17.1より前の 1.17.xの archive/zip では、細工されたアーカイブヘッダー (多くのファイルが存在すると誤って示す) は NewReader または OpenReader パニックを引き起こすことができます。注：この問題は CVE-2021-33196の修正が不完全なために存在します。(CVE-2021-39293)
- 1.16.14 より前の Go および 1.17.7 より前の 1.17.x の math/big の Rat.SetString には、オーバーフローがあり、制御されないメモリ消費が発生する可能性があります。(CVE-2022-23772)
- Go の 1.16.14より前および 1.17.7より前の 1.17.xの cmd/go は、バージョンタグのように偽装して表示されるブランチ名を誤って解釈する可能性があります。これにより、アクターがブランチは作成できるが、タグは作成できないと想定されている場合、不適切なアクセスコントロールが発生する可能性があります。(CVE-2022-23773)
- 1.16.14 より前の Go および 1.17.7 より前の 1.17.x の crypto/elliptic の Curve.IsOnCurve が、有効なフィールド要素ではない big.Int 値を持つ状況で、誤って true を返す可能性があります。(CVE-2022-23806)
- 1.17.9より前の Go および 1.18.1 より前 1.18.x の encoding/pem で、大量の PEM データを介したデコードスタックオーバーフローが発生します。(CVE-2022-24675)
- Go 1.16.15 より前および 1.17.8 より前の 1.17.x の前の regexp.Compile により、深くネスト化された式を介して、スタックの枯渇が可能となっています。(CVE-2022-24921)
- Go 1.17.9より前および 1.18.1より前の 1.18.xの crypto/elliptic の汎用 P-256 機能により、長いスカラー入力を介したパニックが可能になります。(CVE-2022-28327)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
「yum update golang」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com/AL2/ALAS-2022-1830.html
https://alas.aws.amazon.com/cve/html/CVE-2020-29652.html
https://alas.aws.amazon.com/cve/html/CVE-2021-27918.html
https://alas.aws.amazon.com/cve/html/CVE-2021-27919.html
https://alas.aws.amazon.com/cve/html/CVE-2021-33195.html
https://alas.aws.amazon.com/cve/html/CVE-2021-33197.html
https://alas.aws.amazon.com/cve/html/CVE-2021-33198.html
https://alas.aws.amazon.com/cve/html/CVE-2021-36221.html
https://alas.aws.amazon.com/cve/html/CVE-2021-38297.html
https://alas.aws.amazon.com/cve/html/CVE-2021-39293.html
https://alas.aws.amazon.com/cve/html/CVE-2022-23772.html
https://alas.aws.amazon.com/cve/html/CVE-2022-23773.html
https://alas.aws.amazon.com/cve/html/CVE-2022-23806.html
https://alas.aws.amazon.com/cve/html/CVE-2022-24675.html
プラグインの詳細
深刻度: Critical
ID: 163918
ファイル名: al2_ALAS-2022-1830.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
公開日: 2022/8/8
更新日: 2023/12/8
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2021-38297
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:golang, p-cpe:/a:amazon:linux:golang-bin, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-race, p-cpe:/a:amazon:linux:golang-shared, p-cpe:/a:amazon:linux:golang-src, p-cpe:/a:amazon:linux:golang-tests, cpe:/o:amazon:linux:2
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2022/7/28
脆弱性公開日: 2020/12/17
参照情報
CVE: CVE-2020-29652, CVE-2021-27918, CVE-2021-27919, CVE-2021-33195, CVE-2021-33197, CVE-2021-33198, CVE-2021-36221, CVE-2021-38297, CVE-2021-39293, CVE-2022-23772, CVE-2022-23773, CVE-2022-23806, CVE-2022-24675, CVE-2022-24921, CVE-2022-28327
IAVB: 2021-B-0040-S, 2021-B-0069-S, 2022-B-0008-S, 2022-B-0011-S, 2023-B-0080-S