Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2023-175)
critical Nessus Plugin ID 175071
語系：
概要
遠端 Amazon Linux 2023 主機缺少一個安全性更新。說明
因此，會受到 ALAS2023-2023-175 公告中所提及的多個弱點影響。- 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)
- 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)
- 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)
- ReverseProxy 轉送的要求包含來自傳入要求的原始查詢參數，包括 net/http 拒絕的無法剖析的參數。當 Go Proxy 轉送具有無法剖析的值的參數時，可以觸發查詢參數走私。修正後，在 ReverseProxy 之後設定傳出要求的 Form 欄位時，ReverseProxy 會清理轉送的查詢中的查詢參數。Director 函式傳回，表示 Proxy 已剖析此查詢參數。不剖析查詢參數的 Proxy 會繼續原封不動地轉送原始查詢參數。(CVE-2022-2880)
- 在 Go 1.17.11 和 Go 1.18.3 之前版本中，os/exec 的 Cmd.Start 中存在程式碼插入弱點，允許在未設定 Cmd.Path 的情況下，透過呼叫 Cmd.Run、Cmd.Start、Cmd.Output 或 Cmd.CombinedOutput() 在名為 ..com 或 ..exe 的工作目錄中執行任何二進位檔。(CVE-2022-30580)
- 在 Windows 系統中的 Go 1.17.11 和 Go 1.18.3 之前版本中， crypto/rand 的 Read 中存在無限迴圈弱點，允許攻擊者透過傳送大於 1 << 32 - 1 位元組的緩衝區造成無限期懸置。(CVE-2022-30634)
- 攻擊者可在接受 HTTP/2 要求的 Go 伺服器中造成記憶體過度增長。HTTP/2 伺服器連線包含用戶端傳送的 HTTP 標頭金鑰快取。雖然此快取中的項目總數設有上限，但攻擊者如果傳送非常大的金鑰，即可造成伺服器為每個開啟的連線配置大約 64 MiB。(CVE-2022-41717)
- Windows 中的 filepath.Clean 存在路徑遊走弱點。在 Windows 中，filepath.Clean 函式可將無效路徑 (例如 a/../c: /b 轉換為有效路徑 c:\b。相對路徑 (若無效) 的這種轉換可觸發目錄遊走攻擊。修正之後，filepath.Clean 函式會將此路徑轉換為相對 (但仍無效的) 路徑。\c:\b。(CVE-2022-41722)
- 大量交握記錄可造成 crypto/tls 發生錯誤。用戶端和伺服器都可能傳送大量 TLS 交握記錄，這會分別造成伺服器和用戶端在嘗試建構回應時發生錯誤。此問題會影響所有 TLS 1.3 用戶端、明確啟用工作階段恢復的 TLS 1.2 用戶端 (透過將 Config.ClientSessionCache 設為非 nil 值)，以及要求用戶端憑證的 TLS 1.3 伺服器 (透過設定 Config.ClientAuth >= RequestClientCert) 。(CVE-2022-41724)
- net/http 和 mime/multipart 中可能存在因資源消耗過度導致的拒絕服務問題。
使用 mime/multipart.Reader.ReadForm 剖析 Multipart 表單時，可能會大量消耗無限量的記憶體和磁碟檔案。這也會影響 net/http 套件中使用 Request 方法 FormFile、FormValue、ParseMultipartForm 和 PostFormValue 剖析表單的情況。ReadForm 採用 maxMemory 參數，並記錄為在記憶體中最多儲存 maxMemory 位元組 +10MB (為非檔案部分保留的空間)。無法儲存在記憶體中的檔案部分會儲存在磁碟上的暫存檔中。為非檔案部分保留的無法設定的 10MB 過大，可能會自行開啟拒絕服務媒介。但是，ReadForm 並未正確考量已剖析表單消耗的所有記憶體，例如對應項目額外負荷、部分名稱和 MIME 標頭，這允許惡意製作的表單消耗記憶體容量超過 10MB。此外，ReadForm 對建立的磁碟檔案數量沒有限制，允許相對較小的要求內文建立大量的磁碟暫存檔。修正後，ReadForm 現在會正確考量各種形式的記憶體額外負荷，並且現在應保持在其記錄的 10MB + maxMemory 位元組記憶體消耗範圍內。使用者仍應注意，此限制較高且可能仍然存在危險。此外，ReadForm 現在最多可建立一個磁碟上暫存檔，將多個表單部分合併為一個暫存檔。mime/multipart.File 介面類型的文件指出，如果儲存在磁碟上，檔案的基礎具體類型將為 *os.File.。如果表單包含多個檔案部分，則因為要將部分合併到一個檔案中，所以情況不再如此。之前針對每個表單部分使用不同檔案的行為，可透過環境變數 GODEBUG=multipartfiles=distinct 重新啟用。使用者應注意，multipart.ReadForm 和呼叫它的 http.Request 方法不會限制暫存檔消耗的磁碟量。呼叫者可使用 http.MaxBytesReader 限製表單資料的大小。(CVE-2022-41725)
- 如果使用某些特定的未歸約純量 (大於曲線階數的純量) 呼叫 P256 Curve 的 ScalarMult 和 ScalarBaseMult 方法，可能會傳回錯誤結果。這不會影響 crypto/ecdsa 或 crypto/ecdh 的使用。(CVE-2023-24532)
- 即使在剖析小輸入時，HTTP 和 MIME 標頭剖析仍可配置大量記憶體，進而可能導致拒絕服務。輸入資料的某些異常模式可造成用於剖析 HTTP 和 MIME 標頭的通用函式配置比保留已剖析標頭所需的更多的記憶體。攻擊者可惡意利用此行為，造成 HTTP 伺服器從小型要求配置大量記憶體，進而可能導致記憶體耗盡和拒絕服務。
經過修正，標頭剖析現在只會正確配置保留已剖析標頭所需的記憶體。
(CVE-2023-24534)
- 處理含有極大量部分的表單輸入時，多部分表單剖析會消耗大量 CPU 和記憶體。這源於數個原因：1. mime/multipart.Reader.ReadForm 限制已剖析的多部分錶單可消耗的總記憶體。ReadForm 可低估消耗的記憶體量，導致其接受比預期更大的輸入。2. 限制總記憶體並未將具有許多部分的表單中的大量小配置對記憶體回收行程增加的壓力考慮在內。3.
ReadForm 可配置大量存留期短的緩衝區，進一步增加記憶體回收行程的壓力。這些因素結合在一起，可允許攻擊者造成剖析多部分錶單的程式消耗大量 CPU 和記憶體，進而可能導致拒絕服務。
這會影響使用 mime/multipart.Reader.ReadForm 的程式，以及具有 Request 方法 FormFile、FormValue、ParseMultipartForm 和 PostFormValue 的 net/http 套件中的表單剖析。經過修正，ReadForm 現在可以更好地估計已剖析表單的記憶體消耗，並減少執行短期配置。此外，已修正的 mime/multipart.Reader 對剖析表單的大小進行了下列限制：1. 使用 ReadForm 剖析的表單最多可包含 1000 個部分。此限制可使用環境變數 GODEBUG=multipartmaxparts= 進行調整。 2. 使用 NextPart 和 NextRawPart 剖析的表單部分包含的標頭欄位不得超過 10,000。此外，使用 ReadForm 剖析的表單在所有部分中包含的標題欄位不得超過 10,000 個。此限制可使用環境變數 GODEBUG=multipartmaxheaders= 進行調整。(CVE-2023-24536)
- 若在 Go 原始程式碼上呼叫含有非常大行數的 //line 指示詞的任何剖析函式，可因整數溢位而造成無限迴圈。(CVE-2023-24537)
- 範本未正確將反引號 (`) 視為 Javascript 字串分隔符號，也未如預期對其進行逸出。自 ES6 起，JS 範本常值使用反引號。如果範本在 Javascript 範本常值中包含 Go 範本動作，則可使用動作內容終止該常值，從而將任意 Javascript 程式碼插入 Go 範本。由於 ES6 範本常值相當複雜，而且本身可以進行字串插入，因此決定簡單地禁止在其中使用 Go 範本動作 (例如 var a = {{.}})，因為此行為沒有明確可行的安全方法。這與 github.com/google/safehtml 所採用的方法相同。經過修正，Template.Parse 在遇到此類範本時會傳回 ErrorCode 值為 12 的錯誤。此 ErrorCode 目前未匯出，但將在 Go 1.21 版中匯出。依賴先前行為的使用者可使用 GODEBUG 旗標 jstmpllitinterp=1 重新執行該行為，但需要注意的是現在將逸出反引號。應謹慎使用。(CVE-2023-24538)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「dnf update golang --releasever 2023.0.20230503」以更新系統。另請參閱
https://alas.aws.amazon.com/AL2023/ALAS-2023-175.html
https://alas.aws.amazon.com/cve/html/CVE-2022-23772.html
https://alas.aws.amazon.com/cve/html/CVE-2022-23773.html
https://alas.aws.amazon.com/cve/html/CVE-2022-23806.html
https://alas.aws.amazon.com/cve/html/CVE-2022-2880.html
https://alas.aws.amazon.com/cve/html/CVE-2022-30580.html
https://alas.aws.amazon.com/cve/html/CVE-2022-30634.html
https://alas.aws.amazon.com/cve/html/CVE-2022-41717.html
https://alas.aws.amazon.com/cve/html/CVE-2022-41722.html
https://alas.aws.amazon.com/cve/html/CVE-2022-41724.html
https://alas.aws.amazon.com/cve/html/CVE-2022-41725.html
https://alas.aws.amazon.com/cve/html/CVE-2023-24532.html
https://alas.aws.amazon.com/cve/html/CVE-2023-24534.html
https://alas.aws.amazon.com/cve/html/CVE-2023-24536.html
https://alas.aws.amazon.com/cve/html/CVE-2023-24537.html
Plugin 詳細資訊
嚴重性: Critical
ID: 175071
檔案名稱: al2023_ALAS2023-2023-175.nasl
版本: 1.2
類型: local
代理程式: unix
已發布: 2023/5/3
已更新: 2023/5/4
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 6.4
時間分數: 5
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:P
CVSS 評分資料來源: CVE-2022-23806
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2023-24538
弱點資訊
CPE: p-cpe:/a:amazon:linux:golang-bin, cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:golang-race, p-cpe:/a:amazon:linux:golang-tests, p-cpe:/a:amazon:linux:golang, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-shared, p-cpe:/a:amazon:linux:golang-src
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2023/4/27
弱點發布日期: 2022/2/11
參考資訊
CVE: CVE-2022-23772, CVE-2022-23773, CVE-2022-23806, CVE-2022-2880, CVE-2022-30580, CVE-2022-30634, CVE-2022-41717, CVE-2022-41722, CVE-2022-41724, CVE-2022-41725, CVE-2023-24532, CVE-2023-24534, CVE-2023-24536, CVE-2023-24537, CVE-2023-24538
IAVB: 2022-B-0008-S, 2022-B-0042-S, 2022-B-0059-S, 2023-B-0022-S