go getまたはgo get -d実行中の任意のコード実行：1.8.4より前、および1.9.1より前の1.9.xのGoでは、「go get」リモートコマンドが実行される可能性があります。カスタムドメインを使用すると、配置によって、example.com/pkg1はSubversionリポジトリを指し示すが、example.com/pkg1/pkg2はGitリポジトリを指すように調整することが可能です。Subversionリポジトリのpkg2ディレクトリにGitチェックアウトが含まれていて、動作順序が適正になるようにした場合、「go get」を誘導して、このGitチェックアウトを再利用し、pkg2からコードを取得する可能性があります。SubversionリポジトリのGitチェックアウトで.git/hooks/に悪意のあるコマンドがある場合、それらは「go get」を実行しているシステム上で実行されます。（CVE-2017-15041）smtp.PlainAuthは中間者のパスワード取得に影響を受けます。1.8.4より前、および1.9.1より前の1.9.xのGoには、意図しないクリアテキストの問題が存在します。RFC 4954において、SMTPのときに、TLSで保護されたネットワーク接続ではPLAIN認証方式のみを使用する必要があります。Go 1.0でのsmtp.PlainAuthの最初の実装では、この要件が強制され、ドキュメント化されていました。2013年、アップストリーム問題#5184は、PLAINが許容可能かどうかをサーバーが判断できるように変更されました。その結果、STARTTLSをアドバタイズしない中間者SMTPサーバーを設定し、PLAIN authはOKであるとアドバタイズしている場合、smtp.PlainAuth実装ではユーザー名とパスワードを送信します。（CVE-2017-15042）Cコンパイラーのオプションを介した「go get」中の任意のコードの実行：Goの「go get」コマンドでgccを処理し、ビルド中に秘密オプションをclangする方法に、任意のコマンドを実行する欠陥が見つかりました。悪意のあるリポジトリをホストできるリモートの攻撃者は、この欠陥を潜在的に利用して、クライアント側で任意のコマンドを実行する可能性があります。（CVE-2018-6574）

go-toolset-7とgo-toolset-7-golangの更新プログラムがRed Hat Developer Tools用で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Go Toolsetは、Goプログラミング言語のツールとライブラリを提供します。Goはgolangとしても知られています。セキュリティ修正プログラム：* Goの「go get」コマンドがソースコードリポジトリのチェックアウトを処理する方法に任意のコマンドが実行される欠陥が見つかりました。悪意のあるリポジトリをホストできるリモートの攻撃者は、この欠陥を潜在的に利用して、クライアント側で任意のコマンドを実行する可能性があります。（CVE-2017-15041）* Goのsmtp.PlainAuth認証方式でTLS要件が適切に検証されていないことがわかりました。リモートの中間にいる攻撃者がこの欠陥を悪用し、Goアプリケーションから送信されたSMTP資格情報を盗み出す可能性があります。（CVE-2017-15042）バグ修正プログラム：*以前は、go-toolset-7ソフトウェアコレクションの有効化スクリプトが、GOPATH環境変数を書き込み操作にルート権限を必要とするディレクトリに不適切に設定していました。その結果、特定のコマンドを実行したときにgoコンパイラが予期せず終了しました。enableスクリプトがGOPATHを正しく処理するように変更されたため、前述の問題は発生しなくなりました。（BZ#1512013）

go getまたはgo get -d実行中の任意のコード実行：1.8.4より前、および1.9.1より前の1.9.xのGoでは、「go get」リモートコマンドを実行される可能性があります。カスタムドメインを使用すると、配置によって、example.com/pkg1はSubversionリポジトリを指し示すが、example.com/pkg1/pkg2はGitリポジトリを指すように調整することが可能です。Subversionリポジトリのpkg2ディレクトリにGitチェックアウトが含まれていて、動作順序が適正になるようにした場合、「go get」を誘導して、このGitチェックアウトを再利用し、pkg2からコードを取得する可能性があります。SubversionリポジトリのGitチェックアウトで.git/hooks/に悪意のあるコマンドがある場合、それらは「go get」を実行しているシステム上で実行されます。（CVE-2017-15041）smtp.PlainAuthは中間者のパスワード取得に影響を受けます。1.8.4より前、および1.9.1より前の1.9.xのGoには、意図しないクリアテキストの問題が存在します。RFC 4954においては、SMTPのときに、TLSで保護されたネットワーク接続ではPLAIN認証方式のみを使用する必要があります。Go 1.0でのsmtp.PlainAuthの最初の実装では、この要件が強制され、ドキュメント化されていました。2013年、アップストリーム問題#5184は、PLAINが許容可能かどうかをサーバーが判断できるように変更されました。その結果、STARTTLSをアドバタイズしない中間者SMTPサーバーを設定し、PLAIN authはOKであるとアドバタイズしている場合、smtp.PlainAuth実装ではユーザー名とパスワードを送信します。（CVE-2017-15042）

CVE-2017-15041とCVE-2017-15042のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

golangの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。golangパッケージはGoプログラミング言語のコンパイラーを提供します。次のパッケージが新しいアップストリームバージョンにアップグレードされました：golang（1.9.4）（BZ#1479095、BZ#1499827）セキュリティ修正プログラム：*golang：「go get」または「go get-d」中の任意のコード実行（CVE-2017-15041）*golang：中間者のパスワード収集に対するsmtp.PlainAuthの脆弱性（CVE-2017-15042）*golang：Cコンパイラーオプションによる「go get」中の任意のコード実行（CVE-2018-6574）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.5リリースノートを参照してください。

次のパッケージが新しいアップストリームバージョンにアップグレードされました：
golang（1.9.4）

セキュリティ修正プログラム:

  - golang: go getまたはgo get -d実行中の任意のコード実行（CVE-2017-15041）

  - golang: 中間者のパスワード収集に対するsmtp.PlainAuthの脆弱性（CVE-2017-15042）

  - golang: Cコンパイラーのオプションを介した「go get」中の任意のコードの実行（CVE-2018-6574）

追加の変更:

リモートホストは、GLSA-201710-23（Go：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がGoで発見されています。詳細については、以下を参照してください。影響：リモートの攻撃者が任意のGoコマンドを実行したり、中間者攻撃を仕掛けたりする可能性があります。回避策：現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109690	Amazon Linux 2：golang（ALAS-2018-1011）	Nessus	Amazon Linux Local Security Checks	2018/5/11	2018/5/11	critical
105367	RHEL 7：go-toolset-7、go-toolset-7-golang（RHSA-2017:3463）	Nessus	Red Hat Local Security Checks	2017/12/19	2024/4/27	critical
104392	Amazon Linux AMI：golang（ALAS-2017-918）	Nessus	Amazon Linux Local Security Checks	2017/11/6	2018/4/18	critical
106006	Fedora 27：golang（2017-f4fc897e8f）	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/6	critical
108990	RHEL 7：golang（RHSA-2018：0878）	Nessus	Red Hat Local Security Checks	2018/4/11	2019/10/24	critical
109448	Scientific Linux セキュリティ更新: SL7.xのgolangの（noarch）（20180410）	Nessus	Scientific Linux Local Security Checks	2018/5/1	2020/2/24	critical
103899	Fedora 26：golang（2017-6f1b90dbb7）	Nessus	Fedora Local Security Checks	2017/10/18	2021/1/6	critical
103997	Fedora 25：golang（2017-8f7bca960b）	Nessus	Fedora Local Security Checks	2017/10/20	2021/1/6	critical
104066	GLSA-201710-23：Go：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/10/23	2021/1/11	critical
109376	CentOS 7：golang（CESA-2018:0878）	Nessus	CentOS Local Security Checks	2018/4/27	2019/12/31	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical