go 用のこのアップデートは、次の問題を修正します：

- CVE-2015-5739：「Content Length」は有効なヘッダーとして扱われます

- CVE-2015-5740：二重の content-length ヘッダーは 400 エラーを返しません

- CVE-2015-5741：追加強化、Transfer-Encoding を備えた Content-Length の非送信、接続の切断

Go は、次の追加変更により 1.4.3 に更新されました：

- ビルド：cmd/dist から -Werror を削除します

- runtime：初期化されていないスライスに追加された空の構造体の値にアクセスする際のパニック

- runtime：ガベージコレクターが、マップで繰り返される無効なヒープポインターを見つけました

golang 用の更新が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

golang パッケージは Go プログラミング言語のコンパイラを提供します。

次のパッケージが新しい Upstream バージョンにアップグレードされました：
golang（1.6.3）。（BZ#1346331）

セキュリティ修正：

* 受信「Proxy」HTTP　リクエストヘッダーを使用して環境変数「HTTP_PROXY」を設定する CGI 実装内に構築された Go プログラミング言語に入力検証の欠陥が発見されました。
環境変数「HTTP_PROXY」は、HTTP（場合によっては HTTPS）リクエストを使用するためのプロキシサーバーを指定するために、Go の net/http パッケージをはじめとした多数の Web クライアントに使用されています。セッションが拒否された場合、CGI ベースの Web アプリケーションを実行する際に、攻撃者がその後に送信されるリクエスト処理に当該アプリケーションを使用するプロキシサーバーを指定して、中間者攻撃を実行する可能性があります。（CVE-2016-5386）

Red Hat は、この問題を報告してくれた Scott Geary 氏（VendHQ）に感謝の意を表します。

net/http スマグリングのセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Jason Buberel 氏、Go プロダクトマネージャーによる報告：

CVE-2015-5739 - 「Content Length」は有効なヘッダーとして扱われます。

CVE-2015-5740 - 二重 content-length ヘッダーは 400 エラーを返しません。

CVE-2015-5741 - サーバーの追加強化、Transfer-Encoding を備えた Content-Length の非送信、およびサーバー接続の切断

golang-1.5.1-0.fc21 - go1.5.1 に更新 golang-1.5.1-0.fc22 - go1.5.1 に更新 golang-1.5.1-0.el6 - go1.5.1 に更新 golang-1.5.1-0.fc23
- go1.5.1 に更新 ---- bz1258166 srpm マクロの削除、go-srpm-macros 用 ---- go1.5 に更新、x86_64 用共有オブジェクト、gdb の修正、完全な HTTP スマグルの修正、テスト用の修正 ---- bz1258166 マクロの削除、go-srpm-macros 用

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

あちこちで議論された upstream として、Go プロジェクトは、net/http ライブラリにある HTTP リクエストスマグリング脆弱性の通知を受け取りました。無効なヘッダーが、有効なヘッダーとして解析されます（例：「Content Length: 」のように途中にスペースが入る場合）。さらにリクエストにある重複したContent-lengthヘッダーが400のエラーを発生させません。2番目のContent-lengthが無視されます。

golang-1.5.1-0.fc21 - go1.5.1 に更新 golang-1.5.1-0.fc22 - go1.5.1 に更新 golang-1.5.1-0.el6 - go1.5.1 に更新 golang-1.5.1-0.fc23
- go1.5.1 に更新 ---- go1.5 に更新、x86_64 用共有オブジェクト、
gdb の修正、完全な HTTP スマグルの修正、テスト用の修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2016:1538 から：

golang 用の更新が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

golang パッケージは Go プログラミング言語のコンパイラを提供します。

次のパッケージが新しい Upstream バージョンにアップグレードされました：
golang（1.6.3）。（BZ#1346331）

セキュリティ修正：

* 受信「Proxy」HTTP　リクエストヘッダーを使用して環境変数「HTTP_PROXY」を設定する CGI 実装内に構築された Go プログラミング言語に入力検証の欠陥が発見されました。
環境変数「HTTP_PROXY」は、HTTP（場合によっては HTTPS）リクエストを使用するためのプロキシサーバーを指定するために、Go の net/http パッケージをはじめとした多数の Web クライアントに使用されています。セッションが拒否された場合、CGI ベースの Web アプリケーションを実行する際に、攻撃者がその後に送信されるリクエスト処理に当該アプリケーションを使用するプロキシサーバーを指定して、中間者攻撃を実行する可能性があります。（CVE-2016-5386）

Red Hat は、この問題を報告してくれた Scott Geary 氏（VendHQ）に感謝の意を表します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
92596	openSUSE セキュリティ更新：go（openSUSE-2016-907）	Nessus	SuSE Local Security Checks	2016/7/28	2021/1/19	critical
92693	RHEL 7：golang（RHSA-2016:1538）	Nessus	Red Hat Local Security Checks	2016/8/3	2019/10/24	critical
85476	Fedora 22：golang-1.4.2-3.fc22（2015-13002）	Nessus	Fedora Local Security Checks	2015/8/18	2021/1/11	critical
85471	Fedora 21：golang-1.4.2-3.fc21（2015-12957）	Nessus	Fedora Local Security Checks	2015/8/18	2021/1/11	critical
85641	FreeBSD：go -- 複数の脆弱性（4464212e-4acd-11e5-934b-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/8/26	2021/1/6	critical
86232	Fedora 22：golang-1.5.1-0.fc22（2015-15619）	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	critical
85633	Amazon Linux AMI：golang/docker（ALAS-2015-588）	Nessus	Amazon Linux Local Security Checks	2015/8/26	2018/11/19	critical
86231	Fedora 21：golang-1.5.1-0.fc21（2015-15618）	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	critical
92680	CentOS 7：golang（CESA-2016:1538）	Nessus	CentOS Local Security Checks	2016/8/3	2021/1/4	critical
92687	Oracle Linux 7：golang（ELSA-2016-1538）	Nessus	Oracle Linux Local Security Checks	2016/8/3	2021/1/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical