AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:golang/golang-bin/golang-docs/golang-misc/golang-race/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2025:1747058667)

medium Nessus プラグイン ID 359880

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1747058667アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 最初のドメインとのサブドメインの一致または完全一致ではないドメインへの HTTP リダイレクトに従うと、http.Client が Authorization や Cookie などの機密性の高いヘッダーを転送しません。たとえば、foo.com から www.foo.com へのリダイレクトは Authorization ヘッダーを転送しますが、bar.com へのリダイレクトは転送しません。悪意を持って作成された HTTP リダイレクトにより、機密性の高いヘッダーが予期せず転送される可能性があります。(CVE-2023-45289)

- HTTP クライアントは、クロスドメインリダイレクト後に機密ヘッダーをドロップします。たとえば、b.com/ にリダイレクトされる Authorization ヘッダーを含む a.com/ に対するリクエストでは、そのヘッダーは b.com に送信されません。ただし、クライアントが後続の同一ドメインリダイレクトを受信した場合は、機密ヘッダーが復元されます。たとえば、a.com/、b.com/1、そして最後に b.com/2 へのリダイレクトのチェーンは、誤ってAuthorizationヘッダーを b.com/2 に送信します。(CVE-2024-45336)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。