FreeBSD : go -- net/http: 不適切な 100-continue 処理によるサービス拒否 (b0374722-3912-11ef-a77e-901b0e9408dc)

high Nessus プラグイン ID 201555

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、b0374722-3912-11ef-a77e-901b0e9408dc のアドバイザリに記載されている脆弱性の影響を受けます。

Go プロジェクトによる報告:
net/http: 不適切な 100-continue 処理によるサービス拒否 net/http HTTP/1.1 クライアントは、サーバーが Expect でリクエストに応答する際に、情報以外 (200 以上の) ステータスの 100-continue ヘッダーで誤ってケースを処理しました。この処理の誤りによって、クライアント接続が無効な状態になり、その接続を使って送信された次のリクエストが失敗する可能性があります。
net/http/httputil.ReverseProxy プロキシにリクエストを送信する攻撃者がこの処理の誤りを悪用し、Expect への送信によるサービス拒否を引き起こす可能性があります。
バックエンドから情報以外のレスポンスを引き出す 100-continue リクエスト。これらの各リクエストでは、プロキシに無効な接続が残され、その接続を使用する後続の 1 つのリクエストが失敗します。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。