したがって、ALAS2023-2023-367 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - html/template パッケージは、<script> コンテキストでは HTML のようなコメントトークンや、ハッシュタグ #! コメントトークンを適切に処理しません。このため、テンプレートパーサーが <script> コンテキストのコンテンツを不適切に解釈し、アクションが不適切にエスケープされる可能性があります。これが悪用され、XSS 攻撃が実行される可能性があります。(CVE-2023-39318)

  - html/template パッケージは、<script、<!--、</script within JS literals in ><script> コンテキストの発生を処理するための適切なルールを適用しません。このため、テンプレートパーサーがスクリプトコンテキストが早期に終了すると考えて、アクションが不適切にエスケープされる可能性があります。これが悪用され、XSS 攻撃が実行される可能性がありました。(CVE-2023-39319)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : golang、golang-bin、golang-misc (ALAS2023-2023-367)

medium Nessus プラグイン ID 182451

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.0

バージョン 1.3 Dec 8, 2023, 11:43 AM IAVM reference Plugin Feed: 202312081143
バージョン 1.2 Oct 13, 2023, 2:22 PM IAVM reference Plugin Feed: 202310131422
バージョン 1.1 Oct 12, 2023, 4:22 PM IAVM reference Plugin Feed: 202310121622
バージョン 1.0 Oct 4, 2023, 4:00 AM New Plugin Feed: 202310040400