Azure Linux 3.0 セキュリティ更新golang/msft-golangCVE-2024-9355]

medium Nessus プラグイン ID 215560

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Azure Linux 3.0 ホストにインストールされている golang/msft-golang のバージョンは、テスト済みのより前です。したがって、CVE-2024-9355 のアドバイザリに記載されている脆弱性の影響を受けます。

- Golang FIPS OpenSSLに脆弱性が見つかりました。この欠陥により、悪意のあるユーザーが、ゼロになったバッファを持つ初期化されていないバッファ長変数を FIPS モードで返すようにランダムに引き起こす可能性があります。攻撃者が事前計算済みのサムの代わりにゼロのバッファを送信できる場合、信頼できる計算済みの hmac サムと信頼できない入力サムを比較する際に、等しくないハッシュ間の偽陽性一致を強制することが可能な場合もあります。派生キーが予測できない値の代わりにすべてゼロになるように強制することもできます。これは、Go TLS スタックにフォローオンの影響を与える可能性があります。CVE-2024-9355

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。