遠端 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/22.10 主機上安裝的套件受到 USN-5873-1 公告中所提及的多個弱點影響。

  - 0.3.3 之前的 x / text 套件 (適用於 Go) 在編碼/unicode 中有一個弱點，可導致 UTF-16 解碼器進入無限迴圈，進而造成程式損毀或記憶體不足。如果呼叫解碼器上的字串函式，或將解碼器傳遞至 golang.org/x/text/transform.String，則攻擊者可提供單一位元組給透過 UseBOM 或 ExpectBOM 具現化的 UTF16 解碼器，以觸發無限迴圈。(CVE-2020-14040)

  - 在 Go 1.15.4 的 x/text 中，剖析 -u- 延伸模組時，language.ParseAcceptLanguage 會發生索引超出範圍錯誤。 (x/text/language 應該能夠剖析 HTTP Accept-Language 標頭。) (CVE-2020-28851)

  - 在 Go v0.3.5 之前版本的 x/text 中，剖析 BCP 47 標記時，language.ParseAcceptLanguage 會發生配量邊界超出範圍錯誤。 (x/text/language 應該能夠剖析 HTTP Accept-Language 標頭。) (CVE-2020-28852)

  - 在 golang.org/x/text 0.3.7 之前版本中，golang.org/x/text/language 會在 BCP 47 語言標籤剖析期間發生超出邊界讀取錯誤。未正確處理索引計算。如果剖析未受信任的使用者輸入，這可以被用作拒絕服務攻擊的向量。(CVE-2021-38561)

  - 攻擊者可藉由建構一個需要 ParseAcceptLanguage 花大量時間剖析的 Accept-Language 標頭來造成程式拒絕服務。(CVE-2022-32149)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS：Go Text 弱點 (USN-5873-1)

high Nessus Plugin ID 171575

版本 1.0