GLSA-202209-26: Go：多個弱點

high Nessus Plugin ID 165543

語系：

說明

遠端主機受到 GLSA-202209-26 中所述的弱點影響 (Go：多個弱點)

- 在 Go 1.18.6 之前版本和 1.19.1 之前的 1.19.x 版中，攻擊者可在 net/http 中造成拒絕服務，這是因爲如果嚴重錯誤先於關機操作執行，則 HTTP/2 連線可能在關閉期間懸置。(CVE-2022-27664)

- JoinPath 和 URL.JoinPath 不會移除附加到相對路徑的 ../ path 元素。例如，儘管 JoinPath 文件指出「已從結果中移除 ../ path 元素」，但 JoinPath(https://go.dev, ../go) 仍會傳回 URL https://go.dev/../go。(CVE-2022-32190)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

所有 Go 使用者均應升級至最新版本： # emerge --sync # emerge --ask --oneshot
--verbose >=dev-lang/go-1.18.6 此外，使用 Portage 3.0.9 或更新版本的使用者應重建 @golang-rebuild 集，以確保具有 Go 二進位檔的套件沒有包含弱點的程式碼以靜態方式連結至其二進位檔：
# emerge --ask --oneshot --verbose @golang-rebuild