リモートホストにインストールされている golang のバージョンは 1.22.3-1 より前のものです。したがって、ALAS2-2024-2554 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    攻撃者が、過剰な数の CONTINUATION フレームを送信することで、HTTP/2 エンドポイントに任意の量のヘッダーデータを読み取らせる可能性があります。HPACK 状態を維持するには、接続上のすべての HEADERS および CONTINUATION フレームを解析および処理する必要があります。リクエストのヘッダーが MaxHeaderBytes を超えると、超過したヘッダーを保存するためのメモリが割り当てられませんが、ヘッダーは解析され続けます。これにより、攻撃者が HTTP/2 エンドポイントに任意の量のデータを読み取らせる可能性があります。これらのデータはすべて、拒否されるリクエストに関連付けられています。これらのヘッダーには、ハフマンエンコードされたデータが含まれる可能性があるため、攻撃者が送信するよりも、受信者がデコードするのに非常にコストがかかります。この修正では、接続を閉じる前に処理する超過ヘッダーフレームの量に制限を設定します。(CVE-2023-45288)

    最初のドメインとのサブドメインの一致または完全一致ではないドメインへの HTTP リダイレクトに従うと、http.Client が Authorization や Cookie などの機密性の高いヘッダーを転送しません。たとえば、foo.com から www.foo.com へのリダイレクトは Authorization ヘッダーを転送しますが、bar.com へのリダイレクトは転送しません。悪意を持って作成された HTTP リダイレクトにより、機密性の高いヘッダーが予期せず転送される可能性があります。(CVE-2023-45289)

    マルチパートフォームを (Request.ParseMultipartForm で明示的に、または Request.FormValue、Request.PostFormValue、Request.FormFile で暗黙的に) 解析するとき、解析されたフォームの合計サイズに対する制限が、単一フォーム行を読み取る際に消費されるメモリに適用されませんでした。これにより、悪意を持って作成された非常に長い行を含む入力が、大量のメモリの割り当てを引き起こし、メモリの枯渇につながる可能性があります。修正により、ParseMultipartForm 関数はフォーム行の最大サイズを適切に制限するようになりました。(CVE-2023-45290)

    未知の公開鍵アルゴリズムを持つ証明書を含む証明書チェーンを検証すると、Certificate.Verify のエラーが発生します。これは、すべての crypto/tls クライアントと、Config.ClientAuth を VerifyClientCertIfGiven または RequireAndVerifyClientCert に設定するサーバーに影響します。既定の動作では、TLS サーバーはクライアント証明書を検証しません。(CVE-2024-24783)

    ParseAddressList 関数が、表示名内のコメント (括弧内のテキスト) を不適切に処理します。
    これは準拠しているアドレスパーサーとの不整合であるため、異なるパーサーを使用するプログラムによって異なる信頼の決定が行われる可能性があります。(CVE-2024-24784)

    MarshalJSON メソッドから返されたエラーにユーザーが制御するデータが含まれている場合、html/template パッケージのコンテキスト自動エスケープ動作を破壊するために使用される可能性があります。これにより、後続のアクションで、予期しないコンテンツがテンプレートに注入される可能性があります。(CVE-2024-24785)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : golang (ALAS-2024-2554)

high Nessus プラグイン ID 198253

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Aug 6, 2024, 7:05 AM CVSS metrics ("CVSSv3 score" set to 7.5) CVSS metrics ("CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N") CVSSv3 score source (set to "CVE-2024-24784") CVSSv3 severity (based on CVE-2024-24784, severity increased from "Medium" to "High") Plugin Feed: 202408060705
バージョン 1.2 Jun 3, 2024, 7:09 AM Exploit attributes ("Exploitability ease" changed from "No known exploits are available" to "Exploits are available") Plugin Feed: 202406030709
バージョン 1.1 Jun 1, 2024, 5:45 AM New Plugin Feed: 202406010545