したがって、ALAS2023-2023-367 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - html/template パッケージは、<script> コンテキストでは HTML のようなコメントトークンや、ハッシュタグ #! コメントトークンを適切に処理しません。このため、テンプレートパーサーが <script> コンテキストのコンテンツを不適切に解釈し、アクションが不適切にエスケープされる可能性があります。これが悪用され、XSS 攻撃が実行される可能性があります。(CVE-2023-39318)

  - html/template パッケージは、<script、<!--、</script within JS literals in ><script> コンテキストの発生を処理するための適切なルールを適用しません。このため、テンプレートパーサーがスクリプトコンテキストが早期に終了すると考えて、アクションが不適切にエスケープされる可能性があります。これが悪用され、XSS 攻撃が実行される可能性がありました。(CVE-2023-39319)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : golang、golang-bin、golang-misc (ALAS2023-2023-367)

medium Nessus プラグイン ID 182451

バージョン 1.3