CVE-2016-5386 のセキュリティ修正（https://httpoxy.org/）

注意：Tenable Network Security は、前述の説明ブロックを Fedora 更新システム Web サイトから直接抽出しています。
Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

golang 用の更新が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

golang パッケージは Go プログラミング言語のコンパイラを提供します。

次のパッケージが新しい Upstream バージョンにアップグレードされました：
golang（1.6.3）。（BZ#1346331）

セキュリティ修正：

* 受信「Proxy」HTTP　リクエストヘッダーを使用して環境変数「HTTP_PROXY」を設定する CGI 実装内に構築された Go プログラミング言語に入力検証の欠陥が発見されました。
環境変数「HTTP_PROXY」は、HTTP（場合によっては HTTPS）リクエストを使用するためのプロキシサーバーを指定するために、Go の net/http パッケージをはじめとした多数の Web クライアントに使用されています。セッションが拒否された場合、CGI ベースの Web アプリケーションを実行する際に、攻撃者がその後に送信されるリクエスト処理に当該アプリケーションを使用するプロキシサーバーを指定して、中間者攻撃を実行する可能性があります。（CVE-2016-5386）

Red Hat は、この問題を報告してくれた Scott Geary 氏（VendHQ）に感謝の意を表します。

受信「Proxy」HTTP リクエストヘッダーを使用して環境変数「HTTP_PROXY」を設定する CGI 実装内に構築された Go プログラミング言語に入力検証の欠陥が発見されました。環境変数「HTTP_PROXY」は、HTTP (場合によっては HTTPS) リクエストを使用するためのプロキシサーバーを指定するために、Go の net/http パッケージをはじめとした多数の Web クライアントに使用されています。セッションが拒否された場合、CGI ベースの Web アプリケーションを実行する際に、攻撃者がその後に送信されるリクエスト処理に当該アプリケーションを使用するプロキシサーバーを指定して、中間者攻撃を実行する可能性があります。

次のパッケージが新しい Upstream バージョンにアップグレードされました：
golang（1.6.3）。

セキュリティ修正：

- 受信「Proxy」HTTP リクエストヘッダーを使用して環境変数「HTTP_PROXY」を設定する CGI 実装内に構築された Go プログラミング言語に入力検証の欠陥が発見されました。環境変数「HTTP_PROXY」は、HTTP（場合によっては HTTPS）リクエストを使用するためのプロキシサーバーを指定するために、Go の net/http パッケージをはじめとした多数の Web クライアントに使用されています。CGI ベースの Web アプリケーションを実行する際に、攻撃者がその後に送信されるリクエスト処理に当該アプリケーションを使用するプロキシサーバーを指定して、中間者攻撃を実行する可能性があります。
 （CVE-2016-5386）

この更新では、go に静的にリンクされているコードに影響を与えている、セキュリティの問題に対処しています：

- CVE-2016-5386：リモートの攻撃者が、Proxy ヘッダーを通じて、HTTP_PROXY 環境変数を設定する可能性があります（bsc#988487）

リモートホストにインストールされているOracle Enterprise Manager Grid Controlのバージョンにセキュリティパッチがありません。そのため、複数の脆弱性の影響を受けます。-楕円曲線内のポイントが不適切に検証されているため、Bouncy Castle Javaライブラリに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された一連の楕円曲線Diffie-Hellman（ECDH）キー交換を利用して秘密キーを取得する可能性があります（「無効な曲線攻撃」とも呼ばれます）。 （CVE-2015-7940） 汚染されている入力が渡されるときでも文字列が汚染されていないものとして返されると、PerlのPathToolsモジュールでFile::Spec::canonpath()関数に欠陥があります。認証されていないリモートの攻撃者がこれを利用し、取り扱いに慎重を要する（安全性が低い）領域に検証されていないユーザー入力を渡す可能性があります。（CVE-2015-8607）- ユーザー入力の検証が不適切なため、PerlでMapPathA()関数にオーバーフロー状態があります。認証されていないリモートの攻撃者がこれを悪用し、サービス拒否状態または任意のコードの実行を引き起こす可能性があります。（CVE-2015-8608）- ActionFormインスタンスのマルチスレッドアクセスが不適切に処理されるため、リモートでコードが実行される脆弱性がApache Strutsコンポーネントにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたマルチパートのリクエストを介して、任意のコードを実行したりサービス拒否状態を引き起こす可能性があります。（CVE-2016-1181）- 環境（envp）に2回現れる変数の処理中、Perlに欠陥があり、最後の値が%ENVで表示され、getenvで最初の値が返されます。認証されていないリモートの攻撃者がこれを悪用し、汚染確認で保護機能が与えられるにもかかわらず、間違った変数をサブプロセスに伝播させる可能性があります。（CVE-2016-2381）- ファイルアップロードのリクエストを処理するとき、コンテンツタイプヘッダーの境界が不適切に処理されるため、Apache Commons FileUploadコンポーネントにサービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、ライブラリにリンクしているプロセスを応答不能にする可能性があります。（CVE-2016-3092）- RFC 3875セクション4.1.18にしたがって名前空間の競合を適切に解決できないため、「httpoxy」として知られる中間者攻撃の脆弱性がさまざまなコンポーネントにあります。HTTP_PROXY環境変数が、HTTPリクエストの「Proxy」ヘッダーの信頼できないユーザーデータに基づいて設定されます。HTTP_PROXY環境変数が、リモートプロキシサーバーを指定するために、一部のWebクライアントライブラリにより使用されます。認証されていないリモートの攻撃者がこれを悪用し、HTTPリクエストの細工された「Proxy」ヘッダーを通じて、アプリケーションの内部HTTPトラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。このプロキシサーバーは、観察または操作が行われる可能性があります。（CVE-2016-5385、CVE-2016-5386、CVE-2016-5387、CVE-2016-5388）- 桁上げ伝播エラーがx86_64 Montgomery積算の実装のOpenSSLサブコンポーネントにあるため、BN_mod_exp()関数が正しくない結果を生成する可能性があります。十分なリソースを持つ認証されていないリモートの攻撃者がこれを悪用し、秘密鍵に関する秘密情報を取得する可能性があります。さらに永続的なDHパラメーターと複数のクライアントで共有される秘密鍵があるシナリオでは、攻撃者は標的の秘密鍵を使用して、パッチが適用されていないシステムにオンラインでアクセスする必要があります。たとえば、これはOpenSSL DHEベースのSSL/TLS暗号スイートでデフォルトで発生する可能性があります。（CVE-2017-3732）- UIフレームワークに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を与える可能性があります。（CVE-2017-10091）

リモートの Web サーバーで実行している Web アプリケーションは、RFC 3875 セクション 4.1.18 にしたがって名前空間の競合を適切に解決できないため、「httpoxy」として知られる中間者の脆弱性による影響を受けます。HTTP_PROXY 環境変数が、HTTP リクエストの「Proxy」ヘッダーの信頼できないユーザーデータに基づいて設定されます。HTTP_PROXY 環境変数が、リモートプロキシサーバーを指定するために、一部の Web クライアントライブラリにより使用されます。認証されていないリモートの攻撃者がこれを悪用し、HTTP リクエストの細工された「Proxy」ヘッダーを通じて、アプリケーションの内部 HTTP トラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。このプロキシサーバーは、観察と操作が行われる可能性があります。

Red Hat セキュリティアドバイザリ 2016:1538 から：

golang 用の更新が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

golang パッケージは Go プログラミング言語のコンパイラを提供します。

次のパッケージが新しい Upstream バージョンにアップグレードされました：
golang（1.6.3）。（BZ#1346331）

セキュリティ修正：

* 受信「Proxy」HTTP　リクエストヘッダーを使用して環境変数「HTTP_PROXY」を設定する CGI 実装内に構築された Go プログラミング言語に入力検証の欠陥が発見されました。
環境変数「HTTP_PROXY」は、HTTP（場合によっては HTTPS）リクエストを使用するためのプロキシサーバーを指定するために、Go の net/http パッケージをはじめとした多数の Web クライアントに使用されています。セッションが拒否された場合、CGI ベースの Web アプリケーションを実行する際に、攻撃者がその後に送信されるリクエスト処理に当該アプリケーションを使用するプロキシサーバーを指定して、中間者攻撃を実行する可能性があります。（CVE-2016-5386）

Red Hat は、この問題を報告してくれた Scott Geary 氏（VendHQ）に感謝の意を表します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
92615	Fedora 23：golang（2016-340e361b90）	Nessus	Fedora Local Security Checks	2016/7/29	2021/1/11	high
92693	RHEL 7：golang（RHSA-2016:1538）	Nessus	Red Hat Local Security Checks	2016/8/3	2019/10/24	critical
93009	Amazon Linux AMI：golang (ALAS-2016-731) (httpoxy)	Nessus	Amazon Linux Local Security Checks	2016/8/18	2018/4/18	high
92722	Scientific Linux セキュリティ更新：SL7.x x86_64 の golang	Nessus	Scientific Linux Local Security Checks	2016/8/4	2021/1/14	high
92933	openSUSE セキュリティ更新：go（openSUSE-2016-979）	Nessus	SuSE Local Security Checks	2016/8/12	2021/1/19	high
101837	Oracle Enterprise Manager Cloud Controlの複数の脆弱性（2017年7月CPU）	Nessus	Misc.	2017/7/20	2022/4/11	critical
92539	HTTP_PROXY 環境変数の名前空間の衝突の脆弱性（httpoxy）	Nessus	Web Servers	2016/7/25	2022/4/11	high
92622	Fedora 24：golang（2016-ea5e284d34）	Nessus	Fedora Local Security Checks	2016/7/29	2021/1/11	high
92680	CentOS 7：golang（CESA-2016:1538）	Nessus	CentOS Local Security Checks	2016/8/3	2021/1/4	critical
92687	Oracle Linux 7：golang（ELSA-2016-1538）	Nessus	Oracle Linux Local Security Checks	2016/8/3	2021/1/14	critical

検出

プラグインの検索

high

critical

high

high

high

critical

high

high

critical

critical