リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 2802 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go 1.17.12および Go 1.18.4より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - 1.18.6より前の Go および 1.19.1より前の 1.19.xの net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - Go 1.17.12および Go 1.18.4より前の encoding/xml の Decoder.Skip の制御されない再帰により、深くネスト化された XML ドキュメントを介してスタックの枯渇により攻撃者がパニックを引き起こす可能性があります。(CVE-2022-28131)

  - Podman コンテナエンジンの補助グループ処理が不適切なため、攻撃者が影響を受けるコンテナに直接アクセスし、補助グループを使用してアクセス許可を設定し、そのコンテナでバイナリ コードを実行できる場合、機密情報を漏洩させたり、データを改ざんしたりする可能性があります。(CVE-2022-2989)

  - Go 1.17.12および Go 1.18.4より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12および Go 1.18.4の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12および Go 1.18.4より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12および Go 1.18.4の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12および Go 1.18.4より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12および Go 1.18.4の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

  - エンコードされたメッセージが短すぎると、1.17.13 および 1.18.5より前の Go の math/big で、Float.GobDecode および Rat GobDecode にパニックが発生し、サービス拒否が発生する可能性があります。(CVE-2022-32189)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

  - podman で Time-of-check Time-of-use (TOCTOU) の欠陥が見つかりました。この問題により、悪意のあるユーザーが、ボリュームのエクスポート中に、ボリューム内の通常のファイルをシンボリックリンクで置き換え、ホストファイルシステム上の任意のファイルにアクセスできる可能性があります。(CVE-2023-0778)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRed Hat Enterprise Linux CoreOS 4 / 9ホストには、 RHSA-2022:7398 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - go-yaml: go-yaml のサービス拒否 (CVE-2021-4235)

  - golang: net/http: Transfer-Encoding ヘッダーの不適切なサニタイズ (CVE-2022-1705)

  - golang:archive/tar:github.com/vbatts/tar-split:ヘッダー(CVE-2022-2879)を読み取る際の無制限メモリ消費

  - golang: net/http/httputil: ReverseProxy は、解析できないクエリパラメーターを転送すべきではありません (CVE-2022-2880)

  - cri-o: 補助グループの不適切な処理 (CVE-2022-2995)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 8ホストには、CIQ crlsa-2023_2758 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * golang:net/http:Transfer-Encoding ヘッダーの不適切なサニタイズ(CVE-2022-1705)

    * golang:go/parser:すべての Parse* 関数でのスタック枯渇(CVE-2022-1962)

    * golang:net/http:GOAWAY 送信後のサーバーエラーを処理します(CVE-2022-27664)

    * golang:encoding/xml:Decoder.Skip でのスタック枯渇(CVE-2022-28131)

    * golang:io/fs:Glob でのスタック枯渇(CVE-2022-30630)

    * golang:compress/gzip:Reader.Read でのスタック枯渇(CVE-2022-30631)

    * golang:パス/ファイルパス:Glob でのスタックの枯渇(CVE-2022-30632)

    * golang:encoding/xml:Unmarshal でのスタックの枯渇(CVE-2022-30633)

    * golang:encoding/gob:Decoder.Decodeでのスタック枯渇(CVE-2022-30635)

    * golang:net/http/httputil: NewSingleHostReverseProxy - X-Forwarded-For が機能しない省略(CVE-2022-32148)

    * golang:net/http:HTTP/2 リクエストを受け入れる Go サーバーの過剰なメモリ増加(CVE-2022-41717)

    * podman:podmanエクスポートボリュームにおけるシンボリックリンク交換攻撃(CVE-2023-0778)

    * golang:crypto/tls:セッションチケットにランダムticket_age_addがありません(CVE-2022-30629)

    * golang:math/big:デコード big。浮遊して大きい。ネズミの種類は、エンコードされたメッセージが短すぎるとパニックを起こす可能性があるため、サービス拒否(CVE-2022-32189)を引き起こす可能性があります

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2022: 5799 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - golang:  net/http: Transfer-Encoding ヘッダーの不適切なサニタイズ (CVE-2022-1705)

  - golang:  go/parser: すべての Parse * 関数におけるスタックの枯渇 (CVE-2022-1962)

  - golang:  encoding/pem: Decode のスタックオーバーフローを修正 (CVE-2022-24675)

  - golang:  regexp: 深くネスト化された式によるスタック枯渇 (CVE-2022-24921)

  - golang:  encoding/xml: Decoder.Skip でのスタックの枯渇 (CVE-2022-28131)

  - golang:  crypto/elliptic: scalar のサイズが大きすぎるためパニックが引き起こされる (CVE-2022-28327)

  - golang:  syscall: faccessat が間違ったグループをチェックする (CVE-2022-29526)

  - golang:  crypto/tls: セッションチケットにランダムな ticket_age_add がありません (CVE-2022-30629)

  - golang:  io/fs: Glob でのスタックの枯渇 (CVE-2022-30630)

  - golang:  compress/gzip: Reader.Read のスタックの枯渇 (CVE-2022-30631)

  - golang:  path/filepath: Glob でのスタックの枯渇 (CVE-2022-30632)

  - golang:  encoding/xml: Unmarshal でのスタックの枯渇 (CVE-2022-30633)

  - golang:  encoding/gob: Decoder.Decode でのスタックの枯渇 (CVE-2022-30635)

  - golang:  net/http/httputil: NewSingleHostReverseProxy - 機能していない X-Forwarded-For の除外 (CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

したがって、ALAS2-2022-1859 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go 1.17.12 および Go 1.18.4 より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - 1.17.9より前の Go および 1.18.1 より前 1.18.x の encoding/pem で、大量の PEM データを介したデコードスタックオーバーフローが発生します。(CVE-2022-24675)

  - Go の0.0.0-20220314234659-1baeb1ce4c0b より前の golang.org/x/crypto/ssh パッケージにより、攻撃者が AddHostKey に関連する特定の状況でサーバーをクラッシュさせる可能性があります。(CVE-2022-27191)

  - 1.18.6 より前の Go および 1.19.1 より前の 1.19.x の net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - 1.17.12 より前の Go および 1.18.4 より前の 1.18.x の encoding/xml の Decoder.Skip で、深くネスト化された XML ドキュメントを介して、スタック枯渇およびパニックが発生する可能性があります。(CVE-2022-28131)

  - Go 1.17.9より前および 1.18.1より前の 1.18.xの crypto/elliptic の汎用 P-256 機能により、長いスカラー入力を介したパニックが可能になります。(CVE-2022-28327)

  - 1.17.10より前の Go および 1.18.2より前の 1.18.xに不適切な権限が割り当てられています。ゼロ以外のフラグパラメーターで呼び出されると、Faccessat 関数が、ファイルがアクセス可能であると誤って報告する可能性があります。
    (CVE-2022-29526)

  - Go 1.17.11 および Go 1.18.3 より前の crypto/tls のセッションチケットの ticket_age_add のランダムではない値により、TLS ハンドシェイクを観察できる攻撃者が、セッション再開中にチケットの有効期間を比較することで、連続する接続を相互に関連付けることができます。(CVE-2022-30629)

  - Go 1.17.12 および Go 1.18.4 より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12 および Go 1.18.4 の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12 および Go 1.18.4 より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12 および Go 1.18.4 の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12 および Go 1.18.4 より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12 および Go 1.18.4 の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

したがって、ALAS2-2022-1861 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go 1.17.12 および Go 1.18.4 より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - 1.17.9より前の Go および 1.18.1 より前 1.18.x の encoding/pem で、大量の PEM データを介したデコードスタックオーバーフローが発生します。(CVE-2022-24675)

  - Go の0.0.0-20220314234659-1baeb1ce4c0b より前の golang.org/x/crypto/ssh パッケージにより、攻撃者が AddHostKey に関連する特定の状況でサーバーをクラッシュさせる可能性があります。(CVE-2022-27191)

  - 1.18.6 より前の Go および 1.19.1 より前の 1.19.x の net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - 1.17.12 より前の Go および 1.18.4 より前の 1.18.x の encoding/xml の Decoder.Skip で、深くネスト化された XML ドキュメントを介して、スタック枯渇およびパニックが発生する可能性があります。(CVE-2022-28131)

  - Go 1.17.9より前および 1.18.1より前の 1.18.xの crypto/elliptic の汎用 P-256 機能により、長いスカラー入力を介したパニックが可能になります。(CVE-2022-28327)

  - 1.17.10より前の Go および 1.18.2より前の 1.18.xに不適切な権限が割り当てられています。ゼロ以外のフラグパラメーターで呼び出されると、Faccessat 関数が、ファイルがアクセス可能であると誤って報告する可能性があります。
    (CVE-2022-29526)

  - Go 1.17.11 および Go 1.18.3 より前の crypto/tls のセッションチケットの ticket_age_add のランダムではない値により、TLS ハンドシェイクを観察できる攻撃者が、セッション再開中にチケットの有効期間を比較することで、連続する接続を相互に関連付けることができます。(CVE-2022-30629)

  - Go 1.17.12 および Go 1.18.4 より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12 および Go 1.18.4 の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12 および Go 1.18.4 より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12 および Go 1.18.4 の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12 および Go 1.18.4 より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12 および Go 1.18.4 の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

したがって、ALAS2-2022-1865 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Go 1.17.12 および Go 1.18.4 より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - 1.17.9より前の Go および 1.18.1 より前 1.18.x の encoding/pem で、大量の PEM データを介したデコードスタックオーバーフローが発生します。(CVE-2022-24675)

  - Go の0.0.0-20220314234659-1baeb1ce4c0b より前の golang.org/x/crypto/ssh パッケージにより、攻撃者が AddHostKey に関連する特定の状況でサーバーをクラッシュさせる可能性があります。(CVE-2022-27191)

  - 1.18.6 より前の Go および 1.19.1 より前の 1.19.x の net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - 1.17.12 より前の Go および 1.18.4 より前の 1.18.x の encoding/xml の Decoder.Skip で、深くネスト化された XML ドキュメントを介して、スタック枯渇およびパニックが発生する可能性があります。(CVE-2022-28131)

  - Go 1.17.9より前および 1.18.1より前の 1.18.xの crypto/elliptic の汎用 P-256 機能により、長いスカラー入力を介したパニックが可能になります。(CVE-2022-28327)

  - 1.17.10より前の Go および 1.18.2より前の 1.18.xに不適切な権限が割り当てられています。ゼロ以外のフラグパラメーターで呼び出されると、Faccessat 関数が、ファイルがアクセス可能であると誤って報告する可能性があります。
    (CVE-2022-29526)

  - Go 1.17.11 および Go 1.18.3 より前の crypto/tls のセッションチケットの ticket_age_add のランダムではない値により、TLS ハンドシェイクを観察できる攻撃者が、セッション再開中にチケットの有効期間を比較することで、連続する接続を相互に関連付けることができます。(CVE-2022-30629)

  - Go 1.17.12 および Go 1.18.4 より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12 および Go 1.18.4 の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12 および Go 1.18.4 より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12 および Go 1.18.4 の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12 および Go 1.18.4 より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12 および Go 1.18.4 の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている runc のバージョンは、1.1.3-1 より前です。したがって、ALAS2ECS-2025-057 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Go 1.17.12 および Go 1.18.4 より前の net/http の HTTP/1 クライアントで一部の無効な Transfer-Encoding ヘッダーを受け入れることにより、ヘッダーを無効として不適切に拒否することもできない中間サーバーと併用された場合、HTTP リクエストのスマグリングが発生します。CVE-2022-1705

    Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数にある制御されていない再帰により、攻撃者が、深くネスト化された型または宣言を介してスタック枯渇によるパニックを引き起こすことが可能です。CVE-2022-1962

    Golangのライブラリのencoding/pemにバッファオーバーフローの欠陥が見つかりました。この欠陥により、攻撃者は大きな PEM 入力5 MB 以上を使用することができ、Decode でスタックオーバーフローを引き起こし、可用性に損失をもたらします。CVE-2022-24675

    golang.org/x/crypto/ssh に破損した暗号化アルゴリズムの欠陥が見つかりました。この問題により、SHA-2 に基づく署名アルゴリズムを拒否するサーバーに対する RSA キーによる認証に、クライアントが失敗し、攻撃者がサーバーをクラッシュさせ、可用性の損失を引き起こすことが可能です。CVE-2022-27191

    golang encoding/xml に欠陥が見つかりました。深くネスト化された XML ドキュメントを解析する間に Decoder.Skip を呼び出すとき、スタック枯渇によってパニックが発生し、攻撃者がシステムの可用性に影響を与える可能性があります。
    (CVE-2022-28131)

    整数オーバーフローの欠陥が、Golang の crypto/elliptic ライブラリで見つかりました。この欠陥により、攻撃者は 32 バイトより長い細工されたスケーラー入力を使用することができ、 P256.ScalarMult または P256].ScalarBaseMult をパニックに陥らせ、可用性の損失を招く恐れがあります。CVE-2022-28327

     1.17.10 より前の および 1.18.x より前の 1.18.2 に不適切な権限割り当てがあります。ゼロ以外のフラグパラメーターで呼び出されると、Faccessat 関数が、ファイルがアクセス可能であると誤って報告する可能性があります。
    (CVE-2022-29526)

    Go 1.17.11 および Go 1.18.3 より前の crypto/tls のセッションチケットの Ticket_age_add のランダムでない値により、TLS ハンドシェイクを観察できる攻撃者が、セッション再開中にチケット時間を比較することで連続する接続を関連付けることができます。CVE-2022-30629

    golang標準ライブラリであるio/fsに欠陥が見つかりました。大量のパスセパレーターを含むパス上で Glob を呼び出すと、スタック枯渇によりパニック問題が発生する可能性があります。これにより、攻撃者が可用性に影響を与える可能性があります。CVE-2022-30630

    golangに欠陥が見つかりました。長さゼロの圧縮ファイルが大量に連結されているアーカイブで Reader.Read メソッドを呼び出すと、スタックの枯渇によりパニックが発生する可能性があります。CVE-2022-30631

    golangに欠陥が見つかりました。大量のパスセパレーターを含むパス上で Glob を呼び出すと、スタック枯渇によりパニック問題が発生する可能性があります。これにより、攻撃者は可用性に影響を与える可能性があります。
    (CVE-2022-30632)

    Go 1.17.12 および Go 1.18.4 より前の entity/xml における Unmarshal の制御されない再帰により、攻撃者が、任意のフィールドタグを使用するネストされたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタックの枯渇によるパニックを引き起こす可能性があります。CVE-2022-30633

    golangに欠陥が見つかりました。深くネスト化された構造を含むメッセージで Decoder.Decode を呼び出すとき、スタック枯渇によってパニックが発生し、攻撃者がシステムの可用性に影響を与える可能性があります。CVE-2022-30635

    Go 1.17.12 および Go 1.18.4 より前の net/http のクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、ReverseProxy が発生しますクライアント IP を X-Forwarded-For ヘッダーの値として設定します。CVE-2022-32148

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 8.8 ホストに、CIQ ciqsa-2026_0805 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    このアドバイザリは、CIQ LTS 8.8の buildah SRPM のセキュリティ修正をまとめたものです。39 件の CVE に対処します:
    CVE-2022-32189、 CVE-2022-41723、 CVE-2022-41724、 CVE-2022-2990、 CVE-2023-24540、その他 34 個。

Tenable は、前述の記述ブロックを CIQ セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
175871	RHEL 8: container-tools: 4.0 (RHSA-2023: 2802)	Nessus	Red Hat Local Security Checks	2023/5/16	2025/3/6	high
189448	RHCOS 4 / 9 : OpenShift コンテナプラットフォーム 4.12.0 (RHSA-2022:7398)	Nessus	Red Hat Local Security Checks	2024/1/24	2026/5/4	critical
355103	Rocky Linux 8 [CIQ] セキュリティ更新:crit/criu/criu-debuginfo/criu-debugsource/criu-devel/etc 複数の脆弱性(crlsa-2023_2758)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium
163676	RHEL 9: go-toolset and golang (RHSA-2022: 5799)	Nessus	Red Hat Local Security Checks	2022/8/1	2025/3/6	medium
166398	Amazon Linux 2: golang-github-gorilla-context (ALAS-2022-1859)	Nessus	Amazon Linux Local Security Checks	2022/10/21	2024/12/11	medium
166408	Amazon Linux 2: golang-googlecode-net (ALAS-2022-1861)	Nessus	Amazon Linux Local Security Checks	2022/10/21	2024/12/11	medium
166410	Amazon Linux 2: golang-github-syndtr-gocapability (ALAS-2022-1865)	Nessus	Amazon Linux Local Security Checks	2022/10/21	2024/12/11	medium
234968	Amazon Linux 2: runc (ALASECS-2025-057)	Nessus	Amazon Linux Local Security Checks	2025/4/29	2025/10/30	medium
355495	Rocky Linux 8.8 [CIQ] セキュリティ更新:buildah / buildah-debuginfo / buildah-debugsource / buildah-tests / などの複数の脆弱性(ciqsa-2026_0805)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/13	high

検出

プラグインの検索

high

critical

medium

medium

medium

medium

medium

medium

high