Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允許「go get」遠端命令執行。使用自訂網域時，可以藉由安排，將 example.com/pkg1 指向 Subversion 存放庫，而將 example.com/pkg1/pkg2 指向 Git 存放庫。如果 Subversion 存放庫在其 pkg2 目錄中含有 Git 簽出，而且完成了其他特定工作來確保作業的正確順序，則可以誘騙「go get」重複使用此 Git 簽出來擷取 pkg2 中的程式碼。如果 Subversion 存放庫的 Git 簽出在 .git/hooks/ 中有惡意命令，則這些命令將會在執行「go get」的系統上執行。針對 Debian 7「Wheezy」，這些問題已在 2:1.0.2-1.1+deb7u2 版本中修正。建議您升級 golang 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1148-1：golang 安全性更新

critical Nessus Plugin ID 104220

版本 3.8