偵測

Ubuntu 22.04 LTS：Go 網路弱點 （USN-8900-1）

high Nessus Plugin ID 364279

語言:

概要

遠端 Ubuntu 主機缺少一個或多個安全性更新。

說明

遠端 Ubuntu 22.04 LTS 主機上安裝的一個套件受到 USN-8900-1 公告中所提及的多個弱點影響。

 據發現，在 HTTP/2 連線關閉期間傳送 GOAWAY 框架後，Go Networking 未正確處理伺服器錯誤，這可能會導致連線中斷。遠端攻擊者可能利用此問題造成拒絕服務。(CVE-2022-27664)

 據發現，在解碼 HTTP/2 資料流中的 HPACK 標頭時，Go Networking 具有二次複雜度。遠端攻擊者可能會利用此問題導致 Go Networking 使用過多資源，進而造成拒絕服務。（CVE-2022-41723）

 據發現，Go Networking 錯誤地從字面上呈現了 HTML 命名空間之外的文字節點，導致本應逸出的文字無法逸出。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。（CVE-2023-3978）

 Guido Vranken 發現 Go Networking 會根據其長度以非線性方式處理對 HTML 剖析函式的某些輸入。遠端攻擊者可能會利用此問題導致 Go Networking 使用過多資源，進而造成拒絕服務。（CVE-2024-45338）

 Sean Ng 發現 Go Networking 錯誤地將外部內容中以 solidus 字元結尾的無引號屬性值的標籤解釋為自關閉，這可能會導致內容在 DOM 建構過程中被放置在錯誤的作用域中。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。（CVE-2025-22872）

 據發現，Go Networking 在處理某些 HTML 輸入時具有二次剖析複雜性。
 遠端攻擊者可能會利用此問題導致 Go Networking 使用過多資源，進而造成拒絕服務。（CVE-2025-47911）

 據發現，Go Networking 在解析某些 HTML 輸入時可能會進入無限循環。遠端攻擊者可能會利用此問題導致 Go Networking 使用過多資源，進而造成拒絕服務。（CVE-2025-58190）

 據發現，Go Networking 在處理國際化網域名稱時，錯誤地接受解碼為僅 ASCII 標籤的 Punycode 編碼標籤。遠端攻擊者可能會利用此問題繞過存取控制限制並提升權限。（CVE-2026-39821）

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

更新受影響的 golang-golang-x-net-dev 套件。

另請參閱

https://ubuntu.com/security/notices/USN-8900-1

Plugin 詳細資訊

嚴重性: High

ID: 364279

檔案名稱: ubuntu_USN-8900-1.nasl

版本: 1.1

類型: Local

代理程式: unix

已發布: 2026/10/8

已更新: 2026/10/8

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.1

百分位數: 95.79

CVSS v2

風險因素: Medium

基本分數: 6.4

時間性分數: 5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N

CVSS 評分資料來源: CVE-2023-3978

CVSS v3

風險因素: Medium

基本分數: 6.1

時間性分數: 5.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

CVSS v4

風險因素: High

Base Score: 8.7

Threat Score: 7.7

Threat Vector: CVSS:4.0/E:P

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

CVSS 評分資料來源: CVE-2024-45338

弱點資訊

CPE: cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:golang-golang-x-net-dev

必要的 KB 項目: Host/cpu, Host/Debian/dpkg-l, Host/Ubuntu, Host/Ubuntu/release

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2026/10/7

弱點發布日期: 2022/9/6

參考資訊

CVE: CVE-2022-27664, CVE-2022-41723, CVE-2023-3978, CVE-2024-45338, CVE-2025-22872, CVE-2025-47911, CVE-2025-58190, CVE-2026-39821

USN: 8900-1