Amazon Linux 2golang、 --advisory ALAS2-2025-3042ALAS-2025-3042]
high Nessus プラグイン ID 271755
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされている golang のバージョンは 1.24.8-1 より前のものです。したがって、ALAS2-2025-3042 のアドバイザリに記載されている複数の脆弱性の影響を受けます。net/url括弧で囲まれた IPv6 ホスト名の不十分な検証
解析機能により、IPv6 アドレス以外の値が、URL のホストコンポーネント内で角括弧に含まれることを許可していました。RFC 3986では、IPv6アドレスを角括弧で囲み、ホストコンポーネントに含める可能性があります。例: http://[::1]/。IPv4 アドレスとホスト名は、角括弧内に表示できません。解析 では、この要件が強制されていませんでした。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75678NOTE:
https://github.com/golang/go/commit/9fd3ac8a10272afd90312fef5d379de7d688a58e go1.25.2注
https://github.com/golang/go/commit/d6d2f7bf76718f1db05461cd912ae5e30d7b77ea go1.24.8CVE-2025-47912]
archive/tarGNU スパースマップを解析する際の際限のない割り当て
tar.Reader は、GNU tar pax 1.0 スパースファイルのスパース領域データブロック数に最大サイズを設定していませんでした。悪意をもって細工されたアーカイブにより、Reader が無制限の量のデータをアーカイブからメモリへ読み取る可能性があります。圧縮されたソースから読み取るとき、小さな圧縮入力が大きな割り当てを引き起こす可能性があります。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75677NOTE:
https://github.com/golang/go/commit/2612dcfd3cb6dd73c76e14a24fe1a68e2708e4e3 go1.25.2注
https://github.com/golang/go/commit/613e746327381d820759ebea6ce722720b343556 go1.24.8CVE-2025-58183]
entity/asn1DER ペイロードを解析する際にメモリを事前に割り当てることで、メモリ枯渇が発生する可能性があります
DER ペイロードを解析する際に、ペイロードを完全に検証する前にメモリが割り当てられていました。これにより、攻撃者は大きな空の DER ペイロードを作成し、asn1.Unmarshal、x509.ParseCertificateRequest、ocsp.ParseResponse などの関数でメモリ枯渇を引き起こすことができます。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75671NOTE:
https://github.com/golang/go/commit/e0f655bf3f96410f90756f49532bc6a1851855ca go1.25.2注
https://github.com/golang/go/commit/5c3d61c886f7ecfce9a6d6d3c97e6d5a8afb17d1 go1.24.8CVE-2025-58185]
net/httpクッキー解析する際の制限がないために、メモリ枯渇が発生する可能性があります
HTTP ヘッダーにはデフォルトの制限である 1 MB がありますが、解析できるクッキーの数には制限がありませんでした。a=; などの非常に小さなクッキーを多数送信することで、攻撃者は HTTP サーバーに大量のを割り当てさせることができますこれにより大量のメモリ消費を引き起こす可能性があります。
net/http は現在、受け入れられるクッキー数を 3000 に制限しています。これは、httpcookiemaxnum GODEBUG オプションを使用して調整できます。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75672NOTE:
https://github.com/golang/go/commit/100c5a66802b5a895b1d0e5ed3b7918f899c4833 go1.25.2注
https://github.com/golang/go/commit/c6b04dd33b0215f5deb83724661921842bf67607 go1.24.8CVE-2025-58186]
crypto/x509名前制約をチェックする際の二次複雑性
名前制約チェックアルゴリズムの設計により、一部の入力の処理時間が証明書のサイズに対して非線形でスケールします。
これは、任意の証明書チェーンを検証するプログラムに影響を与えます。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75681NOTE:
https://github.com/golang/go/commit/f0c69db15aae2eb10bddd8b6745dff5c2932e8f5 go1.25.2注
https://github.com/golang/go/commit/f334417e71f8b078ad64035bddb6df7f8910da6c go1.24.8CVE-2025-58187]
crypto/x509DSA 公開鍵で証明書を検証する際のパニック
DSA パブリックキーを含む証明書チェーンを検証すると、Equal メソッドを実装すると想定するインターフェイスキャストによって、プログラムがパニックする可能性があります。
これは、任意の証明書チェーンを検証するプログラムに影響を与えます。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75675NOTE:
https://github.com/golang/go/commit/930ce220d052d632f0d84df5850c812a77b70175 go1.25.2注
https://github.com/golang/go/commit/f9f198ab05e3282cbf6b13251d47d9141981e401 go1.24.8CVE-2025-58188]
crypto/tlsALPN ネゴシエーションエラーに任意のテキストが含まれる可能性があります
ALPN ネゴシエーションが失敗した場合、crypto/tls conn.Handshake メソッドはサーバー側のエラーを返します。これには、エスケープされない接続のクライアント側によって提供される、任意の攻撃者がコントロールする情報が含まれる可能性があります。
これは、追加のサニタイズなしでこれらのエラーを記録するプログラムに影響を与え、攻撃者が制御する情報をログに注入する可能性があります。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75652NOTE:
https://github.com/golang/go/commit/205d0865958a6d2342939f62dfeaf47508101976 go1.25.2注
https://github.com/golang/go/commit/2e1e356e33b9c792a9643749a7626a1789197bb9 go1.24.8CVE-2025-58189]
entity/pem一部の無効な入力を解析する際の二次複雑性
PEM 解析関数の設計により、一部の入力の処理時間が、入力のサイズに対して非線形でスケールします。
これは、信頼できない PEM 入力を解析するプログラムに影響を与えます。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75676NOTE:
https://github.com/golang/go/commit/90f72bd5001d0278949fab0b7a40f7d8c712979b go1.25.2注
https://github.com/golang/go/commit/74d4d836b91318a8764b94bc2b4b66ff599eb5f2 go1.24.8CVE-2025-61723]
net/textprotoReader.ReadResponse の過剰な CPU 消費
Reader.ReadResponse 関数は、行を繰り返し文字列で連結することで応答文字列を構築していました。応答の行数が多い場合、CPU の消費が過剰になる可能性があります。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75716NOTE:
https://github.com/golang/go/commit/5d7a787aa2b486f77537eeaed9c38c940a7182b8 go1.25.2注
https://github.com/golang/go/commit/a402f4ad285514f5f3db90516d72047d591b307a go1.24.8CVE-2025-61724]
net/mailParseAddress の過剰な CPU 消費
ParseAddress 関数は、繰り返しの文字列の連結でドメインリテラルアドレスコンポーネントを構築しました。大きなドメインリテラルコンポーネントを解析する場合に、過剰な CPU 消費が発生する可能性があります。
注意: https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
https://github.com/golang/go/issues/75680NOTE:
https://github.com/golang/go/commit/6a057327cf9a405e6388593dd4aedc0d0da77092 go1.25.2注
https://github.com/golang/go/commit/bc6981fd74024098185a23ba3a83a81ed68a06c9 go1.24.8CVE-2025-61725]
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update golang」または「yum update --advisory ALAS2-2025-3042」を実行して、お使いのシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2-2025-3042.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2025-47912.html
https://explore.alas.aws.amazon.com/CVE-2025-58183.html
https://explore.alas.aws.amazon.com/CVE-2025-58185.html
https://explore.alas.aws.amazon.com/CVE-2025-58186.html
https://explore.alas.aws.amazon.com/CVE-2025-58187.html
https://explore.alas.aws.amazon.com/CVE-2025-58188.html
https://explore.alas.aws.amazon.com/CVE-2025-58189.html
https://explore.alas.aws.amazon.com/CVE-2025-61723.html
プラグインの詳細
深刻度: High
ID: 271755
ファイル名: al2_ALAS-2025-3042.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
公開日: 2025/10/28
更新日: 2025/10/28
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: High
基本値: 8.5
現状値: 6.3
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:C
CVSS スコアのソース: CVE-2025-47912
CVSS v3
リスクファクター: High
基本値: 8.2
現状値: 7.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:golang-tests, p-cpe:/a:amazon:linux:golang-bin, p-cpe:/a:amazon:linux:golang, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-shared, p-cpe:/a:amazon:linux:golang-src
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/10/27
脆弱性公開日: 2025/10/23
参照情報
CVE: CVE-2025-47912, CVE-2025-58183, CVE-2025-58185, CVE-2025-58186, CVE-2025-58187, CVE-2025-58188, CVE-2025-58189, CVE-2025-61723, CVE-2025-61724, CVE-2025-61725
IAVB: 2025-B-0177