This update for go1.12 fixes the following issues :

Security issues fixed :

  - CVE-2019-9512: Fixed HTTP/2 flood using PING frames that     results in unbounded memory growth. (bsc#1146111)

  - CVE-2019-9514: Fixed HTTP/2 implementation is vulnerable     to a reset flood, potentially leading to a denial of     service. (bsc#1146115)

  - CVE-2019-14809: Fixed authorization bypass due to     malformed hosts in URLs. (bsc#1146123)

This update for go1.11 fixes the following issues :

Security issues fixed :

CVE-2019-9512: Fixed HTTP/2 flood using PING frames that results in unbounded memory growth (bsc#1146111).

CVE-2019-9514: Fixed HTTP/2 implementation that is vulnerable to a reset flood, potentially leading to a denial of service (bsc#1146115).

CVE-2019-14809: Fixed malformed hosts in URLs that leads to authorization bypass (bsc#1146123).

Bugfixes: Update to go version 1.11.13 (bsc#1141688).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

net/url in Go before 1.11.13 and 1.12.x before 1.12.8 mishandles malformed hosts in URLs, leading to an authorization bypass in some applications. This is related to a Host field with a suffix appearing in neither Hostname() nor Port(), and is related to a non-numeric port number. For example, an attacker can compose a crafted javascript:// URL that results in a hostname of google.com. (CVE-2019-14809)

Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service. The attacker sends continual pings to an HTTP/2 peer, causing the peer to build an internal queue of responses. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.(CVE-2019-9512)

Some HTTP/2 implementations are vulnerable to a reset flood, potentially leading to a denial of service. The attacker opens a number of streams and sends an invalid request over each stream that should solicit a stream of RST_STREAM frames from the peer. Depending on how the peer queues the RST_STREAM frames, this can consume excess memory, CPU, or both.(CVE-2019-9514)

go-toolset:rhel8モジュールの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を中程度と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Go Toolsetは、Goプログラミング言語のツールとライブラリを提供します。Goはgolangとしても知られています。セキュリティ修正プログラム：* golang：URLの不正なホストが認証バイパスを引き起こします（CVE-2019-14809）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

Goプログラミング言語に3つの脆弱性が見つかりました。 「net/url」は、URLで一部の無効なホストを受け入れていました。これにより、一部のアプリケーションで承認が回避され、HTTP/2実装がサービス拒否に対して脆弱でした。

go1.12用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-9512：無制限のメモリ増加につながるPINGフレームを使用したHTTP/2フラッドを修正します（bsc#1146111）

  - CVE-2019-9514：サービス拒否につながる可能性のある、HTTP/2実装がリセットフラッドに対して脆弱である問題を修正しました（bsc#1146115）。

  - CVE-2019-14809：URLにおける不正なホストによる認可バイパスを修正しました。（bsc#1146123）

go1.11用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9512：無制限のメモリ増加につながるPINGフレームを使用したHTTP/2フラッドを修正します（bsc#1146111）。

CVE-2019-9514：サービス拒否につながる可能性のある、HTTP/2実装がリセットフラッドに対して脆弱である問題を修正しました（bsc#1146115）。

CVE-2019-14809: 認可バイパスを引き起こすURLにおける不正なホストを修正しました（bsc#1146123）

バグ修正：goバージョン1.11.13への更新（bsc#1141688）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

一部のHTTP/2実装は、pingフラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者はHTTP/2ピアに継続的にpingを送信し、ピアに応答の内部キューを作成させます。このデータを効率的にキューに入れる方法によって、CPU、メモリ、またはその両方が過剰に消費される可能性があります。（CVE-2019-9512）一部のHTTP/2実装は、リセットフラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者は多数のストリームを開き、各ストリームで、ピアからRST_STREAMフレームのストリームを要求する無効なリクエストを送信します。ピアがRST_STREAMフレームをキューに入れる方法によって、メモリ、CPU、またはその両方が過剰に消費される可能性があります。（CVE-2019-9514）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128142	openSUSE Security Update : go1.12 (openSUSE-2019-2000) (Ping Flood) (Reset Flood)	Nessus	SuSE Local Security Checks	2019/8/26	2024/5/1	critical
128146	SUSE SLED15 / SLES15 Security Update : go1.11 (SUSE-SU-2019:2213-1) (Ping Flood) (Reset Flood)	Nessus	SuSE Local Security Checks	2019/8/26	2024/5/1	critical
128293	Amazon Linux AMI : golang (ALAS-2019-1270) (Ping Flood) (Reset Flood)	Nessus	Amazon Linux Local Security Checks	2019/8/28	2024/5/1	critical
130539	RHEL 8：go-toolset:rhel8（RHSA-2019:3433）	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/7	critical
127930	DebianDSA-4503-1: golang-1.11 - セキュリティ更新プログラム（Ping Flood）（Reset Flood）	Nessus	Debian Local Security Checks	2019/8/20	2024/5/2	critical
128142	openSUSEセキュリティ更新プログラム：go1.12（openSUSE-2019-2000）（Pingフラッド）（リセットフラッド）	Nessus	SuSE Local Security Checks	2019/8/26	2024/5/1	critical
128146	SUSE SLED15 / SLES15セキュリティ更新プログラム：go1.11（SUSE-SU-2019:2213-1）（Pingフラッド）（リセットフラッド）	Nessus	SuSE Local Security Checks	2019/8/26	2024/5/1	critical
128293	Amazon Linux AMI：golang（ALAS-2019-1270）（Pingフラッド）（リセットフラッド）	Nessus	Amazon Linux Local Security Checks	2019/8/28	2024/5/1	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical