Amazon Linux 2：go-rpm-macros (ALAS-2022-1863)
medium Nessus Plugin ID 166407
語系：
概要
遠端 Amazon Linux 2 主機缺少安全性更新。說明
遠端主機上安裝的 go-rpm-macros 版本低於 3.0.15-23。因此，會受到 ALAS2-2022-1863 公告中所提及的多個弱點影響。- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中的 HTTP/1 用戶端會接受某些無效的 Transfer-Encoding 標頭，如果配合使用的中繼伺服器與也未正確拒絕此無效標頭，則可以觸發 HTTP 要求走私攻擊。(CVE-2022-1705)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，go/parser 中的 Parse 函式存在不受控制的遞回弱點，攻擊者可藉此透過深度巢狀類型或宣告造成堆疊耗盡，進而引致錯誤。(CVE-2022-1962)
- 在 v3.8.0 之前的 GitHub 存放庫 emicklei/go-restful 中，透過使用者控制的金鑰可以繞過授權。
(CVE-2022-1996)
- 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)
- 適用於 Go 的 golang.org/x/crypto/ssh 套件 0.0.0-20220314234659-1baeb1ce4c0b 之前版本在涉及 AddHostKey 的某些情況下允許攻擊者造成伺服器當機。(CVE-2022-27191)
- 在 Go 1.18.6 之前版本和 1.19.1 之前的 1.19.x 版中，攻擊者可在 net/http 中造成拒絕服務，這是因爲如果嚴重錯誤先於關機操作執行，則 HTTP/2 連線可能在關閉期間懸置。(CVE-2022-27664)
- 在 Go 1.17.12 之前版本以及 1.18.4 之前的 1.18.x 版中，透過深度巢狀 XML 文件可造成 encoding/xml 中的 Decoder.Skip 發生堆疊耗盡和錯誤。(CVE-2022-28131)
- 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)
- 在 Go 1.17.10 之前版本和 1.18.2 之前的 1.18.x 版本中具有不正確的權限指派。使用非零旗標參數呼叫時，Faccessat 函式可能會錯誤報告檔案可供存取。
(CVE-2022-29526)
- 在 Go 1.17.11 之前版本和 1.18.3 版本中，crypto/tls 爲工作階段票證中的 ticket_age_add 使用非隨機值，因此，可觀察 TLS 交握的攻擊者能夠透過在工作階段恢復期間比較票證期限來關聯連續的連線。(CVE-2022-30629)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，io/fs 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
(CVE-2022-30630)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，compress/gzip 的 Reader.Read 中存在不受控制的遞回弱點，攻擊者可藉此透過含有大量串連長度為 0 的壓縮檔案的封存造成堆疊耗盡，進而引致錯誤。(CVE-2022-30631)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，path/filepath 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
(CVE-2022-30632)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/xml 的 Unmarshal 中存在不受控制的遞回弱點，攻擊者可藉此透過將 XML 文件解組到具有使用「any」欄位標籤的巢狀欄位的 Go 結構中來造成堆疊耗盡，進而引致錯誤。(CVE-2022-30633)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/gob 的 Decoder.Decode 中存在不受控制的遞回弱點，攻擊者可藉此透過包含深度巢狀結構的訊息來造成堆疊耗盡，進而引致錯誤。
(CVE-2022-30635)
- 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中存在不當暴露用戶端 IP 位址的弱點，藉由使用包含 nil 值的 Request.Header 對應爲 X-Forwarded-For 標頭呼叫 httputil.ReverseProxy.ServeHTTP 可以觸發此弱點，造成 ReverseProxy 將用戶端 IP 設定為 X-Forwarded-For 標頭的值。(CVE-2022-32148)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「yum update go-rpm-macros」以更新系統。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 166407
檔案名稱: al2_ALAS-2022-1863.nasl
版本: 1.4
類型: local
代理程式: unix
已發布: 2022/10/21
已更新: 2023/5/17
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2022-29526
CVSS v3
風險因素: Medium
基本分數: 6.5
時間分數: 5.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2022-32148
弱點資訊
CPE: p-cpe:/a:amazon:linux:go-filesystem, p-cpe:/a:amazon:linux:go-rpm-macros, p-cpe:/a:amazon:linux:go-rpm-templates, p-cpe:/a:amazon:linux:go-srpm-macros, cpe:/o:amazon:linux:2
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2022/10/17
弱點發布日期: 2022/3/18
參考資訊
CVE: CVE-2022-1705, CVE-2022-1962, CVE-2022-24675, CVE-2022-27191, CVE-2022-27664, CVE-2022-28131, CVE-2022-28327, CVE-2022-29526, CVE-2022-30629, CVE-2022-30630, CVE-2022-30631, CVE-2022-30632, CVE-2022-30633, CVE-2022-30635, CVE-2022-32148
IAVB: 2022-B-0025-S