Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 多個弱點

critical Nessus Plugin ID 366456

語言:

概要

遠端主機上安裝的應用程式受到多個弱點影響。

說明

遠端主機上執行的 Golang 為 1.26.9 之前的 1.26.x 版，或是 1.27.2 之前的 1.27.x 版。因此，它受到標準程式庫和工具鏈中多個弱點的影響，如 golang-announce 公告中所述，包括：

- 在 Windows 上，當 Root.Mkdir 或 Root.MkdirAll 的目標是指向空白位置的連接時，即使該目標位於根目錄外部，作業也可以在連接目標建立目錄。這僅適用於最後一個路徑元件是交匯處（path/to/junction，但不適用於path/junction/target）的作業。（CVE-2026-56857）

- HTTP/2 伺服器可以針對相同的資料退還連線層級流量控制兩次：一次是在用戶端重設資料流時（退還資料流中任何已傳送但未讀取部分的資料），另一次是在要求處理常式讀取緩衝資料時。惡意用戶端可以利用此弱點來繞過已設定的連線層級流量控制限制（MaxReceiveBufferPerConnection）。緩衝資料總數仍受到並行資料流程限制和資料流程層級流量控制的限制。（CVE-2026-78663）

- 當 http.傳輸會傳送具有非空白 Request.Body 的 HTTP/1 CONNECT 要求，它會將本文直接寫入連線，而不會在要求標頭之後建構。如果伺服器以非 2xx 保持連線回應拒絕 CONNECT 要求，則傳輸會將連線傳回閒置儲存區。因為 CONNECT 要求沒有要求內文，所以伺服器可能會將尾端內文位元組解譯為連線上的後續管線 HTTP/1.1 要求，讓集區連線不同步，並導致下一個重複使用它的呼叫端讀取插入要求的回應。在反向 Proxy （包括 httputil.ReverseProxy）透過共用傳輸轉送 CONNECT 要求，這可能會導致跨使用者回應中毒。（CVE-2026-56866）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。