リモートのDebian 11ホストには、dla-4151アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian LTS アドバイザリ DLA-4151-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 5 月 1 日 https://wiki.debian.org/LTS
    - --------------------------------------------------------------------------

    パッケージ golang-github-gorilla-csrf バージョン 1.6.2-2+deb11u1 CVE ID CVE-2025-24358 Debian バグ 1103584

    Go 用の ghost/csrf パッケージで以下の脆弱性が見つかりました

         1.7.3より前、gory/csrf は、許可リストに対する Origin ヘッダーを検証しませんでした。これは、リクエストが TLS 経由で提供されていると思われる場合のみ、クロスオリジンリクエストのリファラーヘッダーの検証を実行します。r.URL.Scheme の値を検査することで、これを決定しています。ただし、Go 仕様に従い、サーバーリクエストに対してこの値が入力されることはなく、このためこのチェックは実際には実行されませんでした。この脆弱性により、サブドメインまたはトップレベルドメインで XSS を取得した攻撃者が、同じトップレベルドメインを共有する ghost/csrf 保護されたターゲットに対して認証されたフォーム送信を実行する可能性がありました。

    Debian 11 bulletseye では、この問題はバージョン 1.6.2-2+deb11u1 で修正されました。

    以下の Go パッケージは、前述の問題を修正するために再ビルドされました。

    golang-chroma golang-github-alecthomas-chroma-devgolang-github-niklasfasching-go-org-devgolang-github-yuin-goldmark-highlighting-devgo-org hugeo

    これらのパッケージをアップグレードすることを推奨します。

    golang-github-gorilla-csrf の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/golang-github-gorilla-csrf

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4151 : golang-github-gorilla-csrf-dev - セキュリティ更新

medium Nessus プラグイン ID 235057

バージョン 1.1