Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - go-resty の競合状態により、リクエスト間で HTTP リクエスト本文が漏洩する可能性があります。この状態は、リクエストの再試行が有効になっていて再試行が発生したときに、同じ *bytes.Buffer で sync.Pool.Put を複数回呼び出すことによってトリガーできます。その後、sync.Pool.Get への呼び出しは、bytes.Buffer.Reset が呼び出されていない bytes.Buffer を返します。このダーティバッファには、関連のないリクエストからの HTTP リクエスト本文が含まれ、go-resty は現在の HTTP リクエスト本文をそれに追加し、1 つのリクエストで 2 つの本文を送信します。
    問題の sync.Pool はパッケージレベルのスコープで定義されているため、完全に関連のないサーバーがリクエスト本体を受信する可能性があります。(CVE-2023-45286)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2023-45286

medium Nessus プラグイン ID 256103

バージョン 1.8