リモートの Ubuntu 18.04LTS / 20.04LTS / 22.04LTS / 22.10ホストには、USN-5873-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Go 用の 0.3.3 より前の x/text パッケージには、エンコーディング/ユニコードの脆弱性があります。これにより、UTF-16 デコーダーが無限ループに陥り、プログラムがクラッシュしたり、メモリが不足したりする可能性があります。攻撃者は、UseBOM または ExpectBOM でインスタンス化された UTF16 デコーダーに、デコーダーで String 関数が呼び出されるか、デコーダーが golang.org/x/text/transform.String に渡された場合に無限ループをトリガーする単一バイトを渡すことができます。(CVE-2020-14040)

  - Go 1.15.4 の x/text では、-u- 拡張を解析中に、language.ParseAcceptLanguage で範囲外のインデックスパニックが発生します。(x/text/language は HTTP Accept-Language ヘッダーを解析できるはずです。) (CVE-2020-28851)

  - v0.3.5 より前の Go の x/text では、BCP 47 タグを処理中に、language.ParseAcceptLanguage でスライス境界の範囲外のパニックが発生します。(x/text/language は HTTP Accept-Language ヘッダーを解析できるはずです。) (CVE-2020-28852)

  - 0.3.7 より前の golang.org/x/text の golang.org/x/text/language が、BCP 47 言語タグ解析中に領域外読み取りでパニックを起こす可能性があります。インデックス計算が不適切に処理されます。信頼できないユーザー入力を解析する場合、これはサービス拒否攻撃のベクトルとして使用される可能性があります。(CVE-2021-38561)

  - 攻撃者が Accept-Language ヘッダーを細工することでサービス拒否を引き起こし、ParseAcceptLanguage の解析にかなりの時間がかかる可能性があります。(CVE-2022-32149)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 7 / 8 ホストに、RHSA-2023:0407 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - golang: golang.org/x/text/language の領域外読み取りにより DoS が発生 (CVE-2021-38561)

  - golang: net/http: ヘッダー正規化キャッシュの増加を制限 (CVE-2021-44716)

  - golang: syscall: ForkExec エラー時に fd 0 を閉じない (CVE-2021-44717)

  - golang: net/http: Transfer-Encoding ヘッダーの不適切なサニタイズ (CVE-2022-1705)

  - golang: go/parser: すべての Parse * 関数におけるスタックの枯渇 (CVE-2022-1962)

  - golang: regexp: 深くネスト化された式によるスタック枯渇 (CVE-2022-24921)

  - golang: encoding/xml: Decoder.Skip でのスタックの枯渇 (CVE-2022-28131)

  - golang: crypto/tls: セッションチケットにランダムな ticket_age_add が存在しない (CVE-2022-30629)

  - golang: io/fs: Glob でのスタックの枯渇 (CVE-2022-30630)

  - golang: compress/gzip: Reader.Read でのスタックの枯渇 (CVE-2022-30631)

  - golang: path/filepath: Glob でのスタックの枯渇 (CVE-2022-30632)

  - golang: encoding/xml: Unmarshal でのスタックの枯渇 (CVE-2022-30633)

  - golang: encoding/gob: Decoder.Decode でのスタックの枯渇 (CVE-2022-30635)

  - golang: net/http/httputil: NewSingleHostReverseProxy - 機能していない X-Forwarded-For の除外 (CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 0.3.7 より前の golang.org/x/text の golang.org/x/text/language が、BCP 47 言語タグ解析中に領域外読み取りでパニックを起こす可能性があります。インデックス計算が不適切に処理されます。信頼できないユーザー入力を解析する場合、これはサービス拒否攻撃のベクトルとして使用される可能性があります。(CVE-2021-38561)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Splunk のバージョンは、テスト済みバージョンより前です。したがって、SVD-2023-0808 のアドバイザリに記載されている脆弱性の影響を受けます。

  go コマンドは、cgo を使用中の場合、ビルドタイムに任意のコードを実行する可能性があります。これは悪意のあるモジュールで go get を実行している、あるいは信頼できないコードをビルドする他のコマンドを実行しているときに発生する可能性があります。これは、#cgo LDFLAGS ディレクティブで指定されたリンカーフラグにより発生する可能性があります。埋め込まれたスペースを含むフラグが不適切に処理されるため、別のフラグの引数に含めることで、許可されていないフラグを LDFLAGS サニタイズを通してスマグリングすることが可能です。これは gccgo コンパイラの使用にのみ影響します。(CVE-2023-29405)

  - curl < 7.84.0が Cookie、alt-svc、hsts のデータをローカルファイルに保存するとき、一時的な名前から最終的なターゲットファイル名への名前変更で操作をファイナライゼーションすることで、操作をアトミックにします。この名前変更操作で、偶発的に、ターゲットファイルの権限を *拡大* し、意図したよりも多くのユーザーが更新済みファイルにアクセスできるようになる可能性があります。(CVE-2022-32207)

  - decode-uri-component 0.2.0 は、DoS を引き起こす不適切な入力検証に対して脆弱です。(CVE-2022-38900)

  -Node.js の [] より前のパッケージ (

ID	名前	製品	ファミリー	公開日	更新日	深刻度
171575	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS : Go Text の脆弱性 (USN-5873-1)	Nessus	Ubuntu Local Security Checks	2023/2/16	2024/8/28	high
194211	RHEL 7 / 8 : OpenShift Virtualization 4.12.0 RPMs (RHSA-2023:0407)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	medium
224109	Linux Distros のパッチ未適用の脆弱性: CVE-2021-38561	Nessus	Misc.	2025/3/5	2025/3/5	high
194928	Splunk Enterprise 8.2.0 < 8.2.12、9.0.0 < 9.0.6、9.1.0 < 9.1.1 (SVD-2023-0808)	Nessus	CGI abuses	2024/5/2	2024/7/29	critical

検出

プラグインの検索

high

medium

high

critical