リモートホストにインストールされている golang のバージョンは 1.18.9-1 より前のものです。したがって、ALAS2-2023-2015 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ReverseProxy によって転送されたリクエストには、net/http によって拒否された解析できないパラメーターを含め、インバウンドリクエストからの生のクエリパラメーターが含まれます。これにより、Go プロキシが解析できない値を持つパラメーターを転送する際に、クエリパラメーターのスマグリングが発生する可能性があります。修正後の ReverseProxy は、ReverseProxy の後にアウトバウンドリクエストの Form フィールドが設定されると、転送されたクエリのクエリパラメーターをサニタイズします。Director 関数が戻り、プロキシがクエリパラメーターを解析したことを示します。クエリパラメーターを解析しないプロキシは、元のクエリパラメーターを変更せずに転送し続けます。(CVE-2022-2880)

    Go 1.17.11 および Go 1.18.3 より前の os/exec の Cmd.Start のコードインジェクションにより、Cmd.Run、Cmd.Start、Cmd.Output の呼び出しで、..com または ..exe のいずれかという名前の作業ディレクトリで任意のバイナリが実行される可能性があります。または Cmd.Path が設定されていない場合は Cmd.CombinedOutput のいずれかです。CVE-2022-30580

    Windows での Go 1.17.11 および Go 1.18.3 より前の crypto/rand の Read の無限ループにより、攻撃者が 1 < 32 - 1 バイトより大きいバッファを渡すことで、無期限のハングアップを引き起こす可能性があります。CVE-2022-30634

    Go プロジェクトはこの問題を次のように説明しています。

    Windows では、filepath.Clean 関数によって、a/../c:/b などの無効なパスが有効なパス c:\b に変換される可能性があります。このように相対パス (無効な場合) を絶対パスに変換することで、ディレクトリトラバーサル攻撃が可能になる可能性があります。filepath.Clean 関数は、このパスを相対しかし無効なパス に変換します。\c:\b。CVE-2022-41722

    http2/hpack: hpack デコーディングで 2 次複雑度を回避 (CVE-2022-41723)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2golang、 --advisory ALAS2-2023-2015ALAS-2023-2015]

high Nessus プラグイン ID 174580

バージョン 1.1