リモートの Oracle Linux 8 ホストに、ELSA-2022-7129 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Go 1.17.12 および Go 1.18.4 より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  - Go 1.17.12 および Go 1.18.4 より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12 および Go 1.18.4 の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

  - Go 1.17.12 および Go 1.18.4 より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12 および Go 1.18.4 より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - 1.18.6 より前の Go および 1.19.1 より前の 1.19.x の net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - Go 1.15.4 の x/text では、-u- 拡張を解析中に、language.ParseAcceptLanguage で範囲外のインデックスパニックが発生します。(x/text/language は HTTP Accept-Language ヘッダーを解析できるはずです。) (CVE-2020-28851)

  - v0.3.5 より前の Go の x/text では、BCP 47 タグを処理中に、language.ParseAcceptLanguage でスライス境界の範囲外のパニックが発生します。(x/text/language は HTTP Accept-Language ヘッダーを解析できるはずです。) (CVE-2020-28852)

  - エンコードされたメッセージが短すぎると、1.17.13 および 1.18.5より前の Go の math/big で、Float.GobDecode および Rat GobDecode にパニックが発生し、サービス拒否が発生する可能性があります。(CVE-2022-32189)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 8: git-lfs (ELSA-2022-7129)

medium Nessus プラグイン ID 166517

バージョン 1.4

バージョン 1.3

バージョン 1.2

バージョン 1.4 Oct 6, 2023, 5:06 PM Exploit attributes ("Exploit available" set to "True". "Exploitability ease" changed from "No known exploits are available" to "Exploits are available") CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:OF/RC:C". "CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:O/RC:C") Plugin Feed: 202310061706
バージョン 1.3 Nov 1, 2022, 3:25 PM IAVM reference Plugin Feed: 202211011525
バージョン 1.2 Oct 26, 2022, 9:50 AM New Plugin Feed: 202210260950