遠端主機上安裝的 golang 版本早於 1.13.4-1。因此，會受到 ALAS2-2024-2545 公告中提及的一個弱點影響。

  - 嘗試處理含有無效 DSA 公開金鑰的網路流量時，1.12.11 之前的 Go 和 1.13.2 之前的 1.3.x 可能會發生錯誤。有數種攻擊情況，例如從用戶端到驗證用戶端憑證之伺服器的流量。(CVE-2019-17596)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

Daniel Mandragona 發現，無效的 DSA 公開金鑰可在 dsa.Verify() 中造成錯誤，進而導致拒絕服務。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2020-0329 公告中提及的多個弱點影響。

  - 1.12.10 之前的 Go 和 1.13.1 之前的 1.13.x 允許 HTTP 要求走私。(CVE-2019-16276)

  - 嘗試處理含有無效 DSA 公開金鑰的網路流量時，1.12.11 之前的 Go 和 1.13.2 之前的 1.3.x 可能會發生錯誤。有數種攻擊情況，例如從用戶端到驗證用戶端憑證之伺服器的流量。(CVE-2019-17596)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Go 編程語言中發現數個弱點。攻擊者可觸發拒絕服務 (DoS)、略過存取控制，並在開發人員的電腦上執行任意程式碼。

CVE-2017-15041

Go 允許執行「go get」遠端命令。使用自訂網域時，可以藉由安排，將 example.com/pkg1 指向 Subversion 存放庫，而將 example.com/pkg1/pkg2 指向 Git 存放庫。如果 Subversion 存放庫在其 pkg2 目錄中含有 Git 簽出，而且完成了其他特定工作來確保作業的正確順序，則可以誘騙「go get」重複使用此 Git 簽出來擷取 pkg2 中的程式碼。如果 Subversion 存放庫的 Git 簽出在 .git/hooks/ 中有惡意命令，則這些命令將在執行「go get」的系統上執行。

CVE-2018-16873

使用惡意 Go 套件的 -u 旗標和匯入路徑執行時，「go get」命令容易受到遠端程式碼執行弱點攻擊，因為它可將父目錄視為包含惡意組態的 Git 存放庫 root。

CVE-2018-16874

使用惡意 Go 套件中包含大括號 (「{」和「}」字元) 的匯入路徑執行時，「go get」命令容易受到目錄遍歷攻擊。攻擊者可造成任意檔案系統寫入，進而可能導致程式碼執行。

CVE-2019-9741

在 net/http 中，若攻擊者控制了 url 參數，便可能執行 CRLF 插入攻擊，包含 \r\n 的 http.NewRequest 第二個引數 (後接 HTTP 標頭或 Redis 命令) 即為一例。

CVE-2019-16276

Go 允許 HTTP 要求走私。

CVE-2019-17596

嘗試處理含有無效 DSA 公開金鑰的網路流量時，Go 可能會發生錯誤。有數種攻擊情況，例如從用戶端到驗證用戶端憑證之伺服器的流量。

CVE-2021-3114

crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。

針對 Debian 9 Stretch，已在 1.8.1-1+deb9u3 版本中修正這些問題。

建議您升級 golang-1.8 套件。

如需有關 golang-1.8 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/golang-1.8

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2020: 0329 公告中提及的多個弱點影響。

  - golang：冒號前有空格的 HTTP/1.1 標頭可導致篩選繞過或要求走私 (CVE-2019-16276)

  - golang：無效的公開金鑰造成 dsa.Verify 中發生錯誤 (CVE-2019-17596)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 0329 公告中提及的多個弱點影響。

  - golang：冒號前有空格的 HTTP/1.1 標頭可導致篩選繞過或要求走私 (CVE-2019-16276)

  - golang：無效的公開金鑰造成 dsa.Verify 中發生錯誤 (CVE-2019-17596)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 0101 公告中提及的多個弱點影響。

  - golang：冒號前有空格的 HTTP/1.1 標頭可導致篩選繞過或要求走私 (CVE-2019-16276)

  - golang：無效的公開金鑰造成 dsa.Verify 中發生錯誤 (CVE-2019-17596)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Go 編程語言中發現數個弱點。攻擊者可觸發拒絕服務 (DoS)、略過存取控制，並在開發人員的電腦上執行任意程式碼。

CVE-2017-15041

Go 允許執行「go get」遠端命令。使用自訂網域時，可以藉由安排，將 example.com/pkg1 指向 Subversion 存放庫，而將 example.com/pkg1/pkg2 指向 Git 存放庫。如果 Subversion 存放庫在其 pkg2 目錄中含有 Git 簽出，而且完成了其他特定工作來確保作業的正確順序，則可以誘騙「go get」重複使用此 Git 簽出來擷取 pkg2 中的程式碼。如果 Subversion 存放庫的 Git 簽出在 .git/hooks/ 中有惡意命令，則這些命令將在執行「go get」的系統上執行。

CVE-2018-16873

使用惡意 Go 套件的 -u 旗標和匯入路徑執行時，「go get」命令容易受到遠端程式碼執行弱點攻擊，因為它可將父目錄視為包含惡意組態的 Git 存放庫 root。

CVE-2018-16874

使用惡意 Go 套件中包含大括號 (「{」和「}」字元) 的匯入路徑執行時，「go get」命令容易受到目錄遍歷攻擊。攻擊者可造成任意檔案系統寫入，進而可能導致程式碼執行。

CVE-2019-9741

在 net/http 中，若攻擊者控制了 url 參數，便可能執行 CRLF 插入攻擊，包含 \r\n 的 http.NewRequest 第二個引數 (後接 HTTP 標頭或 Redis 命令) 即為一例。

CVE-2019-16276

Go 允許 HTTP 要求走私。

CVE-2019-17596

嘗試處理含有無效 DSA 公開金鑰的網路流量時，Go 可能會發生錯誤。有數種攻擊情況，例如從用戶端到驗證用戶端憑證之伺服器的流量。

CVE-2021-3114

crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。

針對 Debian 9 Stretch，已在 1.7.4-2+deb9u3 版本中修正這些問題。

建議您升級 golang-1.7 套件。

如需有關 golang-1.7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/golang-1.7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
197112	Amazon Linux 2：golang (ALAS-2024-2545)	Nessus	Amazon Linux Local Security Checks	2024/5/15	2024/12/11	high
130290	Debian DSA-4551-1：golang-1.11 - 安全性更新	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
140032	Oracle Linux 8：go-toolset: ol8 (ELSA-2020-0329)	Nessus	Oracle Linux Local Security Checks	2020/8/28	2024/11/1	high
147800	Debian DLA-2592-1：golang-1.8 安全性更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
145950	CentOS 8：go-toolset: rhel8 (CESA-2020: 0329)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
133478	RHEL 8：go-toolset: rhel8 (RHSA-2020: 0329)	Nessus	Red Hat Local Security Checks	2020/2/5	2024/11/7	high
132948	RHEL 7：go-toolset-1.12-golang (RHSA-2020: 0101)	Nessus	Red Hat Local Security Checks	2020/1/16	2024/11/7	high
147797	Debian DLA-2591-1：golang-1.7 安全性更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical

偵測

搜尋 Plugin

high

high

high

critical

high

high

high

critical