リモートホストにインストールされている Splunk のバージョンは、テスト済みバージョンより前です。したがって、SVD-2023-0808 のアドバイザリに記載されている脆弱性の影響を受けます。

  go コマンドは、cgo を使用中の場合、ビルドタイムに任意のコードを実行する可能性があります。これは悪意のあるモジュールで go get を実行している、あるいは信頼できないコードをビルドする他のコマンドを実行しているときに発生する可能性があります。これは、#cgo LDFLAGS ディレクティブで指定されたリンカーフラグにより発生する可能性があります。埋め込まれたスペースを含むフラグが不適切に処理されるため、別のフラグの引数に含めることで、許可されていないフラグを LDFLAGS サニタイズを通してスマグリングすることが可能です。これは gccgo コンパイラの使用にのみ影響します。(CVE-2023-29405)

  - curl < 7.84.0が Cookie、alt-svc、hsts のデータをローカルファイルに保存するとき、一時的な名前から最終的なターゲットファイル名への名前変更で操作をファイナライゼーションすることで、操作をアトミックにします。この名前変更操作で、偶発的に、ターゲットファイルの権限を *拡大* し、意図したよりも多くのユーザーが更新済みファイルにアクセスできるようになる可能性があります。(CVE-2022-32207)

  - decode-uri-component 0.2.0 は、DoS を引き起こす不適切な入力検証に対して脆弱です。(CVE-2022-38900)

  -Node.js の [] より前のパッケージ (

リモートホストにインストールされている golang のバージョンは 1.16.15-1.37 より前のものです。したがって、ALAS-2022-1583 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.16.1 より前の Go 1.16.x の archive/zip では、攻撃者が、任意のファイル名の先頭に ../ が存在する ZIP アーカイブに対して Reader.Open API を使用しようとすると、サービス拒否 (パニック) を引き起こす可能性があります。(CVE-2021-27919)

  - GOARCH=wasm GOOS=js が使用されている場合、WASM モジュールからの関数呼び出しで、1.16.9 より前の Go および 1.17.2より前の 1.17.xに大きな引数を介した、バッファオーバーフローがあります。(CVE-2021-38297)

  - 1.16.10以前の Go および 1.17.3以前の 1.17.xにおける debug/macho (Open または OpenFat 用) の ImportedSymbols は、バッファの終わりの後のメモリ位置 (別名: 領域外スライス状態) にアクセスします。
    (CVE-2021-41771)

  - 1.16.10以前の Go および 1.17.3以前の 1.17.xでは、不正な名前または空のファイル名フィールドを含む細工された ZIP アーカイブを介して、アーカイブ/zip Reader.Open パニックが発生する可能性があります。(CVE-2021-41772)

  - 1.16.12より前および 1.17.5より前の 1.17.xの Go の net/http により、HTTP/2 リクエストを介したヘッダー正規化キャッシュで、メモリ消費が制御されない事態が発生する可能性があります。(CVE-2021-44716)

  -UNIXの 1.16.12より前、および 1.17.5より前の 1.17.xの Goでは、意図しないファイルまたは意図しないネットワーク接続に書き込み操作が行われる可能性があります。これはファイル記述子が枯渇した後にファイル記述子 0 が誤って閉じられた結果として発生します。(CVE-2021-44717)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

この go1.16 用の更新プログラムでは、次の問題を修正します。

go1.16.2 (2021 年 3 月 11 日リリース) (bsc#1182345)

go1.16.1 (2021 年 3 月 10 日リリース) (bsc#1182345)

  - CVE-2021-27918: xml.NewTokenDecoder をカスタム TokenReader で使用した際の無限ループ (bsc#1183333)

  - CVE-2021-27919: archive/zip: がReader.Open を呼び出す際にパニックになる可能性のある問題を修正しました (bsc#1183334)。

注: Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストにインストールされているgolangのバージョンは1.18.3-1より前のです。したがって、ALAS2-2022-1830 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go の v0.0.0-20201203163018-be400aefbc4c までの golang.org/x/crypto/ssh コンポーネントの nil ポインターデリファレンスにより、リモート攻撃者が SSH サーバーに対してサービス拒否を引き起こす可能性があります。(CVE-2020-29652)

  - カスタムの TokenReader (xml.NewTokenDecoder 用) が要素の途中で EOF を返す場合、1.15.9 より前の Go および1.16.1より前の1.16.x の encoding/xml に無限ループがあります。これは、Decode、DecodeElement、または Skip メソッドで発生する可能性があります。(CVE-2021-27918)

  - 1.16.1 より前の Go 1.16.x の archive/zip では、攻撃者が、任意のファイル名の先頭に ../ が存在する ZIP アーカイブに対して Reader.Open API を使用しようとすると、サービス拒否 (パニック) を引き起こす可能性があります。(CVE-2021-27919)

  - 1.15.13 より前の Go および 1.16.5 より前の 1.16.x には、DNS サーバーからの応答を検証しない DNS 検索用の関数があるため、戻り値に RFC1035 形式に準拠しない安全でない注入 (XSS など) が含まれる可能性があります。(CVE-2021-33195)

  - 1.16.5より前の1.15.13および 1.16.xの Go において、ReverseProxy (net/http/httputil からの) の構成の一部は、攻撃者が任意のヘッダーをドロップできる状況に陥ります。
    (CVE-2021-33197)

  - 1.16.5より前の1.15.13および1.16.xの Go において、math/big.Rat SetString または UnmarshalText メソッドに対して大きな指数が入力された場合パニックが発生する可能性があります。(CVE-2021-33198)

  - 1.15.15より前の Go および1.16.7より前の1.16.xでは、競合状態があり、ErrAbortHandler の中止時に、net/http/httputil ReverseProxy パニックに至る可能性があります。(CVE-2021-36221)

  - GOARCH=wasm GOOS=js が使用されている場合、WASM モジュールからの関数呼び出しで、1.16.9 より前の Go および 1.17.2 より前の 1.17.x に大きな引数を介した、バッファオーバーフローがあります。(CVE-2021-38297)

  - 1.16.8より前の Go および 1.17.1より前の 1.17.xの archive/zip では、細工されたアーカイブヘッダー (多くのファイルが存在すると誤って示す) は NewReader または OpenReader パニックを引き起こすことができます。注：この問題は CVE-2021-33196の修正が不完全なために存在します。(CVE-2021-39293)

  - 1.16.14 より前の Go および 1.17.7 より前の 1.17.x の math/big の Rat.SetString には、オーバーフローがあり、制御されないメモリ消費が発生する可能性があります。(CVE-2022-23772)

  - Go の 1.16.14より前および 1.17.7より前の 1.17.xの cmd/go は、バージョンタグのように偽装して表示されるブランチ名を誤って解釈する可能性があります。これにより、アクターがブランチは作成できるが、タグは作成できないと想定されている場合、不適切なアクセスコントロールが発生する可能性があります。(CVE-2022-23773)

  - 1.16.14 より前の Go および 1.17.7 より前の 1.17.x の crypto/elliptic の Curve.IsOnCurve が、有効なフィールド要素ではない big.Int 値を持つ状況で、誤って true を返す可能性があります。(CVE-2022-23806)

  - 1.17.9より前の Go および 1.18.1 より前 1.18.x の encoding/pem で、大量の PEM データを介したデコードスタックオーバーフローが発生します。(CVE-2022-24675)

  - Go 1.16.15 より前および 1.17.8 より前の 1.17.x の前の regexp.Compile により、深くネスト化された式を介して、スタックの枯渇が可能となっています。(CVE-2022-24921)

  - Go 1.17.9より前および 1.18.1より前の 1.18.xの crypto/elliptic の汎用 P-256 機能により、長いスカラー入力を介したパニックが可能になります。(CVE-2022-28327)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている golang のバージョンは 1.18.6-1.42 より前のものです。したがって、ALAS-2022-1635 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go 1.17.12および Go 1.18.4より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12および Go 1.18.4より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - 1.17.9より前の Go および 1.18.1より前 1.18.xの encoding/pem で、大量の PEM データを介したデコードスタックオーバーフローが発生します。(CVE-2022-24675)

  - Go の0.0.0-20220314234659-1baeb1ce4c0b より前の golang.org/x/crypto/ssh パッケージにより、攻撃者が AddHostKey に関連する特定の状況でサーバーをクラッシュさせる可能性があります。(CVE-2022-27191)

  - 1.18.6より前の Go および 1.19.1より前の 1.19.xの net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - 1.17.12より前の Go および 1.18.4より前の 1.18.xの encoding/xml の Decoder.Skip で、深くネスト化された XML ドキュメントを介して、スタック枯渇およびパニックが発生する可能性があります。(CVE-2022-28131)

  - Go 1.17.9より前および 1.18.1より前の 1.18.xの crypto/elliptic の汎用 P-256 機能により、長いスカラー入力を介したパニックが可能になります。(CVE-2022-28327)

  - 1.17.10より前の Go および 1.18.2より前の 1.18.xに不適切な権限が割り当てられています。ゼロ以外のフラグパラメーターで呼び出されると、Faccessat 関数が、ファイルがアクセス可能であると誤って報告する可能性があります。
    (CVE-2022-29526)

  - Go 1.17.11および Go 1.18.3より前の crypto/tls のセッションチケットの ticket_age_add のランダムではない値により、TLS ハンドシェイクを観察できる攻撃者が、セッション再開中にチケットの有効期間を比較することで、連続する接続を相互に関連付けることができます。(CVE-2022-30629)

  - Go 1.17.12および Go 1.18.4より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12および Go 1.18.4の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12および Go 1.18.4より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12および Go 1.18.4の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12および Go 1.18.4より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12および Go 1.18.4の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
194928	Splunk Enterprise 8.2.0 < 8.2.12、9.0.0 < 9.0.6、9.1.0 < 9.1.1 (SVD-2023-0808)	Nessus	CGI abuses	2024/5/2	2024/7/29	critical
160332	Amazon Linux AMI: golang (ALAS-2022-1583)	Nessus	Amazon Linux Local Security Checks	2022/4/29	2024/1/8	critical
148139	SUSE SLED15/ SLES15セキュリティ更新プログラム: go1.16 (SUSE-SU-2021:0937-1)	Nessus	SuSE Local Security Checks	2021/3/26	2024/1/8	high
163918	Amazon Linux 2：golang (ALAS-2022-1830)	Nessus	Amazon Linux Local Security Checks	2022/8/8	2023/12/8	critical
168435	Amazon Linux AMI: golang (ALAS-2022-1635)	Nessus	Amazon Linux Local Security Checks	2022/12/7	2023/12/5	critical

検出

プラグインの検索

critical

critical

high

critical

critical