Golang < 1.21.8、1.22.x < 1.22.1 複数の脆弱性

medium Nessus プラグイン ID 191709

Language:

概要

リモートの Windows ホストにインストールされているアプリケーションは、複数の脆弱性による影響を受けます。

説明

リモートホストで実行している Golang のバージョンは、1.21.8 または 1.22.1 より前の 1.22.x です。したがって、以下の複数の脆弱性の影響を受けます。

- 悪意を持って細工された HTTP リダイレクトにより、機密性の高いヘッダーが予期せず転送される可能性があります。(CVE-2023-45289)

- 未知の公開鍵アルゴリズムを持つ証明書を含む証明書チェーンを検証すると、Certificate.Verify のエラーが発生します。これは、すべての crypto/tls クライアントと、Config.ClientAuth を VerifyClientCertIfGiven または RequireAndVerifyClientCert に設定するサーバーに影響します。デフォルトの動作では、TLS サーバーはクライアント証明書を検証しません。(CVE-2024-24783)

- ParseAddressList 関数が、表示名内のコメント (括弧内のテキスト) を不適切に処理します。これは準拠しているアドレスパーサーとの不整合であるため、異なるパーサーを使用するプログラムによって異なる信頼の決定が行われる可能性があります。(CVE-2024-24784、CVE-2024-24785)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。