遠端主機受到 GLSA-202208-02 中所述的弱點影響 (Go：多個弱點)

  - Go 1.14.12 之前版本以及 1.15.5 之前的 1.15.x 版本允許發生程式碼插入攻擊。(CVE-2020-28366)

  - Go 1.14.12 之前版本以及 1.15.5 之前的 1.15.x 版本允許發生引數插入攻擊。(CVE-2020-28367)

  - 在 Go 1.15.9 版和 1.16.x 版的 1.16.1 之前版本中，如果自訂 TokenReader (對於 xml.NewTokenDecoder) 在元件中間返回 EOF，則 encoding/xml 會發生無限迴圈。Decode、DecodeElement 或 Skip 方法中皆可發生此問題。(CVE-2021-27918)

  - 在 Go 1.16.1 之前的 1.16.x 版本中，archive/zip 允許攻擊者在針對任何檔案名稱開頭出現 ../ 的 ZIP 封存嘗試使用 Reader.Open API 時，造成程式拒絕服務 (發生錯誤)。(CVE-2021-27919)

  - Go 1.17 之前版本未正確考量 IP 位址八位元組開頭的無關零字元，由於非預期的八進位轉譯，這 (在某些情況下) 允許攻擊者繞過以 IP 位址為基礎的存取控制。這會影響 net.ParseIP 和 net.ParseCIDR。(CVE-2021-29923)

  - 在 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本中，crypto/elliptic/p224.go 可以生成不正確的輸出，此問題與最後完整還原過程中 P-224 欄位中最低分支的反向溢位相關。
    (CVE-2021-3114)

  - Windows 上的 Go 1.14.14 和 1.15.x 版的 1.15.7 之前版本在使用 go get 命令擷取利用 CGO 的模組時 (例如，CGO 可以從不受信任的下載來源執行 GCC 程序)，很容易受到命令插入和遠端程式碼執行攻擊。(CVE-2021-3115)

  - 1.15.12 版之前的 net/http (在 Go 中) 和 1.16.4 版之前的 1.16.x 允許遠端攻擊者透過傳送至 ReadRequest 或 ReadResponse 的大形標頭，以引發拒絕服務 (不穩定)。伺服器、傳輸和用戶端在某些組態中都會受到影響。(CVE-2021-31525)

  - 1.15.13 之前的 Go 和 1.16.5 之前的 1.16.x 具有不驗證來自 DNS 伺服器的回覆的 DNS 查閱函式，因此傳回值可能包含不符合 RFC1035 格式的不安全插入 (例如 XSS)。(CVE-2021-33195)

  - 在 Go 1.15.13 版和 1.16.x 的 1.16.5 之前版本中，封存/ZIP 中特製的檔案數（在封存的標頭中）可能會導致 NewReader 或 OpenReader 錯誤。(CVE-2021-33196)

  - 在 1.15.13 版之前的 Go 和 1.16.5 版之前的 1.16.x，攻擊者可以利用 ReverseProxy 的一些配置 (來自 net/http/httputil) 插入任意標頭。
    (CVE-2021-33197)

  - 在 1.15.13 版之前的 Go 和 1.16.x 版之前的 1.16.5，大量使用 math/big.Rat SetString 或 UnmarshalText 方法可能會引起錯誤。(CVE-2021-33198)

  - 在 Go 1.16.5 版以及之前的所有版本中，crypto/tls 套件在進行 RSA 型金鑰交換時，未正確宣告 X.509 憑證中的公開金鑰類型符合預期類型，惡意 TLS 伺服器會藉此造成 TLS 用戶端不穩定。(CVE-2021-34558)

  - 1.15.15 之前的版本和 1.16.7 之前的 1.16.x 存在一個爭用情形，可導致 ErrAbortHandler 中止時發生 net/http/httputil ReverseProxy 錯誤。(CVE-2021-36221)

  - 使用 GOARCH=wasm GOOS=js 時，Go 1.16.9 之前版本和 Go 1.17.x 至 1.17.2 版本會透過大型引數從 WASM 模組叫用函式來造成緩衝區溢位。(CVE-2021-38297)

  - 在早於 1.16.10 版的 Go 和早於 1.17.x 版的 Go 1.17.3 中，debug/macho (針對 Open 或 OpenFat) 中的 ImportedSymbols 會存取緩衝區結尾後的記憶體位置，此情形亦即「超出邊界分割」。
    (CVE-2021-41771)

  - Go 1.16.10 之前版本和 Go 1.17.x 至 1.17.3 版本允許透過建構包含無效名稱或空白檔案名稱欄位的 ZIP 封存造成 archive/zip Reader.Open 錯誤。(CVE-2021-41772)

  - 在早於 1.16.12 版的 Go 和早於 1.17.x 版的  Go 1.17.5 中，net/http 允許透過 HTTP/2 要求在標頭標準化快取中消耗不受控制的記憶體。(CVE-2021-44716)

  - 由於在檔案描述符號耗儘後錯誤關閉檔案描述符號 0，因此 UNIX 上早於 1.16.12 的 Go 版本和早於 1.17.x 的 Go 1.17.5 版本允許寫入非預定檔案或非預定網路連線。(CVE-2021-44717)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)

  - Go 1.16.15 之前版本和 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允許透過深度巢狀運算式造成堆疊耗盡。(CVE-2022-24921)

  - 在 Go 1.18.x 版的 1.18.1 之前版本中，當提供某些格式錯誤的憑證時，crypto/x509 中的 Certificate.Verify 可能會在 macOS 上發生錯誤，這允許遠端 TLS 伺服器造成 TLS 用戶端發生錯誤。(CVE-2022-27536)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)

  - 在 Go 1.17.10 之前版本和 1.18.2 之前的 1.18.x 版本中具有不正確的權限指派。使用非零旗標參數呼叫時，Faccessat 函式可能會錯誤報告檔案可供存取。
    (CVE-2022-29526)

  - golang：net/http：不當清理 Transfer-Encoding 標頭 (CVE-2022-1705)

  - golang：encoding/xml：Decoder.Skip 中的堆疊耗盡弱點 (CVE-2022-28131)

  - grafana-8.5.6-1.fc37 的自動更新。##### **變更記錄** ``` * 2022 年 6 月 29 日星期三 Andreas Gerstmayr <agerstmayr@redhat.com> 8.5.6-1 - 更新標記 8.5.6 的上游社群原始程式碼，請參閱變更記錄 - 已更新 AGPLv3 的授權 - 在 /etc/grafana/grafana.ini 中放置加註解的範例組態檔案 - 在構建程序中啟用 Go 模組 - 根據 yarn v3 和 Zero Install 功能調整 Node.js bundling * Sun 2022 年 6 月 19 日 Robert-Andr Mauchin <zebob.m@gmail.com> - 7.5.15-3 - 針對 CVE-2022-1996、CVE-2022-24675、CVE-2022-28327、CVE-2022-27191、CVE-2022-29526、CVE-2022-30629 重新構建``` (CVE-2022-30629)

  - golang：io/fs：Glob 中的堆疊耗盡弱點 (CVE-2022-30630)

  - golang：compress/gzip：Reader.Read 中的堆疊耗盡弱點 (CVE-2022-30631)

  - golang：path/filepath：Glob 中的堆疊耗盡弱點 (CVE-2022-30632)

  - golang：encoding/xml：Unmarshal 中的堆疊耗盡弱點 (CVE-2022-30633)

  - golang：encoding/gob：Decoder.Decode 中的堆疊耗盡弱點 (CVE-2022-30635)

  - golang：net/http/httputil：NewSingleHostReverseProxy - 省略 X-Forwarded-For 無法運作 (CVE-2022-32148)

  - Go 專案報告：encoding/gob 與 math/big：解碼 big.Float 和 big.Rat 可能會發生錯誤。如果編碼的訊息太短，則解碼 big.Float 和 big.Rat 類型可能會發生錯誤。
    (CVE-2022-32189)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 8 主機上安裝的多個套件受到 CESA-2022: 1819 公告中提及的多個弱點影響。

  - golang：命令行引數可能會覆寫全域資料 (CVE-2021-38297)

  - golang：archive/zip：格式錯誤的封存可能會造成不穩定或記憶體耗盡 (CVE-2021-33196 的不完整修正) (CVE-2021-39293)

  - golang：debug/macho：無效動態符號表格命令可造成不穩定 (CVE-2021-41771)

  - golang：archive/zip：空字串上的 Reader.Open 錯誤 (CVE-2021-41772)

  - golang：math/big：不受控制的記憶體消耗是透過 Rat.SetString 造成的未處理溢位所致 (CVE-2022-23772)

  - golang：使用 cgo 的 cmd/go: 分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang：crypto/elliptic IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2022: 1819 公告中提及的多個弱點影響。

  - golang：命令行引數可能會覆寫全域資料 (CVE-2021-38297)

  - golang：archive/zip：格式錯誤的封存可能會造成不穩定或記憶體耗盡 (CVE-2021-33196 的不完整修正) (CVE-2021-39293)

  - golang：debug/macho：無效動態符號表格命令可造成不穩定 (CVE-2021-41771)

  - golang：archive/zip：空字串上的 Reader.Open 錯誤 (CVE-2021-41772)

  - golang：math/big：不受控制的記憶體消耗是透過 Rat.SetString 造成的未處理溢位所致 (CVE-2022-23772)

  - golang：使用 cgo 的 cmd/go: 分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang：crypto/elliptic：IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 / 8 主機上安裝的一個套件受到 RHSA-2022: 6094 公告中提及的多個弱點影響。

  - golang：使用 cgo 的 cmd/go: 分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang：crypto/elliptic：IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

  - golang：編碼/pem：修正 Decode 中的堆疊溢位 (CVE-2022-24675)

  - golang：crypto/elliptic：過大的純量造成的錯誤 (CVE-2022-28327)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2022: 5004 公告中所提及的一個弱點影響。

  - golang：math/big：不受控制的記憶體消耗是透過 Rat.SetString 造成的未處理溢位所致 (CVE-2022-23772)

  - golang：使用 cgo 的 cmd/go: 分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang：crypto/elliptic：IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

  - envoy：GrpcHealthCheckerImpl 中存在記憶體區段錯誤 (CVE-2022-29224)

  - envoy：解壓縮程式可遭到 zip 攻擊 (CVE-2022-29225)

  - envoy：oauth 篩選器允許簡單繞過 (CVE-2022-29226)

  - envoy：oauth 篩選器從 decodeHeaders() 內呼叫 continueDecoding() (CVE-2022-29228)

  - Istio：中繼資料交換存在不安全的記憶體存取問題。(CVE-2022-31045)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS-2023-1685 公告中所提及的多個弱點影響。

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2022:4860 公告中提及的多個弱點影響。

  - golang：math/big：由於 Rat.SetString 中未處理的溢位問題，導致記憶體消耗不受控制 (CVE-2022-23772)

  - golang: cmd/go：分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang: crypto/elliptic：IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 golang 版本早於 1.19.6-1。因此，會受到 ALAS2GOLANG1.19-2023-002 公告中所提及的多個弱點影響。

  - 在早於 1.16.10 版的 Go 和早於 1.17.x 版的 Go 1.17.3 中，debug/macho (針對 Open 或 OpenFat) 中的 ImportedSymbols 會存取緩衝區結尾後的記憶體位置，此情形亦即「超出邊界分割」。
    (CVE-2021-41771)

  - 由於在檔案描述符號耗儘後錯誤關閉檔案描述符號 0，因此 UNIX 上早於 1.16.12 的 Go 版本和早於 1.17.x 的 Go 1.17.5 版本允許寫入非預定檔案或非預定網路連線。(CVE-2021-44717)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中的 HTTP/1 用戶端會接受某些無效的 Transfer-Encoding 標頭，如果配合使用的中繼伺服器與也未正確拒絕此無效標頭，則可以觸發 HTTP 要求走私攻擊。(CVE-2022-1705)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，go/parser 中的 Parse 函式存在不受控制的遞回弱點，攻擊者可藉此透過深度巢狀類型或宣告造成堆疊耗盡，進而引致錯誤。(CVE-2022-1962)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)

  - 在 Go 1.18.6 之前版本和 1.19.1 之前的 1.19.x 版中，攻擊者可在 net/http 中造成拒絕服務，這是因爲如果嚴重錯誤先於關機操作執行，則 HTTP/2 連線可能在關閉期間懸置。(CVE-2022-27664)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)

  - Reader.Read 未設定檔案標頭的大小上限。攻擊者可透過惡意特製的封存造成 Read 配置無限量的記憶體，這可能引致資源耗盡或錯誤。
    修正後，Reader.Read 會將標頭區塊的大小上限限制為 1 MiB。(CVE-2022-2879)

  - ReverseProxy 轉送的要求包含來自傳入要求的原始查詢參數，包括 net/http 拒絕的無法剖析的參數。當 Go Proxy 轉送具有無法剖析的值的參數時，可以觸發查詢參數走私。修正後，在 ReverseProxy 之後設定傳出要求的 Form 欄位時，ReverseProxy 會清理轉送的查詢中的查詢參數。Director 函式傳回，表示 Proxy 已剖析此查詢參數。不剖析查詢參數的 Proxy 會繼續原封不動地轉送原始查詢參數。(CVE-2022-2880)

  - 在 Go 1.17.11 和 Go 1.18.3 之前版本中，os/exec 的 Cmd.Start 中存在程式碼插入弱點，允許在未設定 Cmd.Path 的情況下，透過呼叫 Cmd.Run、Cmd.Start、Cmd.Output 或 Cmd.CombinedOutput() 在名為 ..com 或 ..exe 的工作目錄中執行任何二進位檔。(CVE-2022-30580)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，path/filepath 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30632)

  - 在 Windows 系統中的 Go 1.17.11 和 Go 1.18.3 之前版本中， crypto/rand 的 Read 中存在無限迴圈弱點，允許攻擊者透過傳送大於 1 << 32 - 1 位元組的緩衝區造成無限期懸置。(CVE-2022-30634)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/gob 的 Decoder.Decode 中存在不受控制的遞回弱點，攻擊者可藉此透過包含深度巢狀結構的訊息來造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30635)

  - 編譯來自非受信任來源的規則運算式的程式可能容易受到記憶體耗盡或拒絕服務攻擊。剖析的規則運算式的表示法與輸入的大小成線性關係，但在某些情況下，常數因子可高達 40,000，使得相對較小的 regexp 會消耗大量記憶體。修正後，將每個要剖析的規則運算式的記憶體佔用量都限制為 256 MB。如果表示法佔用的空間超過限制，此規則運算式會遭到拒絕。正常使用的規則運算式不受影響。(CVE-2022-41715)

  - 攻擊者可在接受 HTTP/2 要求的 Go 伺服器中造成記憶體過度增長。HTTP/2 伺服器連線包含用戶端傳送的 HTTP 標頭金鑰快取。雖然此快取中的項目總數設有上限，但攻擊者如果傳送非常大的金鑰，即可造成伺服器為每個開啟的連線配置大約 64 MiB。(CVE-2022-41717)

  - Windows 中的 filepath.Clean 存在路徑遊走弱點。在 Windows 中，filepath.Clean 函式可將無效路徑 (例如 a/../c: /b 轉換為有效路徑 c:\b。相對路徑 (若無效) 的這種轉換可觸發目錄遊走攻擊。修正之後，filepath.Clean 函式會將此路徑轉換為相對 (但仍無效的) 路徑。\c:\b。(CVE-2022-41722)

  - 惡意特製的 HTTP/2 串流可造成 HPACK 解碼器中發生 CPU 過度佔用問題，透過少量小型要求即可造成程式拒絕服務。(CVE-2022-41723)

  - 大量交握記錄可造成 crypto/tls 發生錯誤。用戶端和伺服器都可能傳送大量 TLS 交握記錄，這會分別造成伺服器和用戶端在嘗試建構回應時發生錯誤。此問題會影響所有 TLS 1.3 用戶端、明確啟用工作階段恢復的 TLS 1.2 用戶端 (透過將 Config.ClientSessionCache 設為非 nil 值)，以及要求用戶端憑證的 TLS 1.3 伺服器 (透過設定 Config.ClientAuth >= RequestClientCert) 。(CVE-2022-41724)

  - net/http 和 mime/multipart 中可能存在因資源消耗過度導致的拒絕服務問題。
    使用 mime/multipart.Reader.ReadForm 剖析 Multipart 表單時，可能會大量消耗無限量的記憶體和磁碟檔案。這也會影響 net/http 套件中使用 Request 方法 FormFile、FormValue、ParseMultipartForm 和 PostFormValue 剖析表單的情況。ReadForm 採用 maxMemory 參數，並記錄為在記憶體中最多儲存 maxMemory 位元組 +10MB (為非檔案部分保留的空間)。無法儲存在記憶體中的檔案部分會儲存在磁碟上的暫存檔中。為非檔案部分保留的無法設定的 10MB 過大，可能會自行開啟拒絕服務媒介。但是，ReadForm 並未正確考量已剖析表單消耗的所有記憶體，例如對應項目額外負荷、部分名稱和 MIME 標頭，這允許惡意製作的表單消耗記憶體容量超過 10MB。此外，ReadForm 對建立的磁碟檔案數量沒有限制，允許相對較小的要求內文建立大量的磁碟暫存檔。修正後，ReadForm 現在會正確考量各種形式的記憶體額外負荷，並且現在應保持在其記錄的 10MB + maxMemory 位元組記憶體消耗範圍內。使用者仍應注意，此限制較高且可能仍然存在危險。此外，ReadForm 現在最多可建立一個磁碟上暫存檔，將多個表單部分合併為一個暫存檔。mime/multipart.File 介面類型的文件指出，如果儲存在磁碟上，檔案的基礎具體類型將為 *os.File.。如果表單包含多個檔案部分，則因為要將部分合併到一個檔案中，所以情況不再如此。之前針對每個表單部分使用不同檔案的行為，可透過環境變數 GODEBUG=multipartfiles=distinct 重新啟用。使用者應注意，multipart.ReadForm 和呼叫它的 http.Request 方法不會限制暫存檔消耗的磁碟量。呼叫者可使用 http.MaxBytesReader 限製表單資料的大小。(CVE-2022-41725)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2022-14857 公告中提及的多個弱點影響。

  - Go 1.16.15 之前版本和 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允許透過深度巢狀運算式造成堆疊耗盡。(CVE-2022-24921)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 golang 版本早於 1.18.3-1。因此，它受到 ALAS2-2022-1830 公告中所提及的多個弱點影響。

  - v0.0.0-20201203163018-be400aefbc4c 之前的 Go 版本 golang.org/x/crypto/ssh 元件中存在 nil 指標解除參照，允許遠端攻擊者對 SSH 伺服器造成拒絕服務。(CVE-2020-29652)

  - 在 Go 1.15.9 版和 1.16.x 版的 1.16.1 之前版本中，如果自訂 TokenReader (對於 xml.NewTokenDecoder) 在元件中間返回 EOF，則 encoding/xml 會發生無限迴圈。Decode、DecodeElement 或 Skip 方法中皆可發生此問題。(CVE-2021-27918)

  - 在 Go 1.16.1 之前的 1.16.x 版本中，archive/zip 允許攻擊者在針對任何檔案名稱開頭出現 ../ 的 ZIP 封存嘗試使用 Reader.Open API 時，造成程式拒絕服務 (發生錯誤)。(CVE-2021-27919)

  - 1.15.13 之前的 Go 和 1.16.5 之前的 1.16.x 具有不驗證來自 DNS 伺服器的回覆的 DNS 查閱函式，因此傳回值可能包含不符合 RFC1035 格式的不安全插入 (例如 XSS)。(CVE-2021-33195)

  - 在 1.15.13 版之前的 Go 和 1.16.5 版之前的 1.16.x，攻擊者可以利用 ReverseProxy 的一些配置 (來自 net/http/httputil) 插入任意標頭。
    (CVE-2021-33197)

  - 在 1.15.13 版之前的 Go 和 1.16.x 版之前的 1.16.5，大量使用 math/big.Rat SetString 或 UnmarshalText 方法可能會引起錯誤。(CVE-2021-33198)

  - 1.15.15 之前的版本和 1.16.7 之前的 1.16.x 存在一個爭用情形，可導致 ErrAbortHandler 中止時發生 net/http/httputil ReverseProxy 錯誤。(CVE-2021-36221)

  - 使用 GOARCH=wasm GOOS=js 時，Go 1.16.9 之前版本和 Go 1.17.x 至 1.17.2 版本會透過大型引數從 WASM 模組叫用函式來造成緩衝區溢位。(CVE-2021-38297)

  - 在 Go 1.16.8 之前版本和 1.17.x 至 1.17.1 版本中，archive/zip 中建構的 archive 標頭 (錯誤指定存有多個檔案) 可能會導致 NewReader 或 OpenReader 錯誤。注意：此問題之所以存在，是因為 CVE-2021-33196 的修正不完整。(CVE-2021-39293)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)

  - Go 1.16.15 之前版本和 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允許透過深度巢狀運算式造成堆疊耗盡。(CVE-2022-24921)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 golang 版本早於 1.18.6-1.42。因此，它受到 ALAS-2022-1635 公告中所提及的多個弱點影響。

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中的 HTTP/1 用戶端會接受某些無效的 Transfer-Encoding 標頭，如果配合使用的中繼伺服器與也未正確拒絕此無效標頭，則可以觸發 HTTP 要求走私攻擊。(CVE-2022-1705)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，go/parser 中的 Parse 函式存在不受控制的遞回弱點，攻擊者可藉此透過深度巢狀類型或宣告造成堆疊耗盡，進而引致錯誤。(CVE-2022-1962)

  - 在 v3.8.0 之前的 GitHub 存放庫 emicklei/go-restful 中，透過使用者控制的金鑰可以繞過授權。
    (CVE-2022-1996)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)

  - 適用於 Go 的 golang.org/x/crypto/ssh 套件 0.0.0-20220314234659-1baeb1ce4c0b 之前版本在涉及 AddHostKey 的某些情況下允許攻擊者造成伺服器當機。(CVE-2022-27191)

  - 在 Go 1.18.6 之前版本和 1.19.1 之前的 1.19.x 版中，攻擊者可在 net/http 中造成拒絕服務，這是因爲如果嚴重錯誤先於關機操作執行，則 HTTP/2 連線可能在關閉期間懸置。(CVE-2022-27664)

  - 在 Go 1.17.12 之前版本以及 1.18.4 之前的 1.18.x 版中，透過深度巢狀 XML 文件可造成 encoding/xml 中的 Decoder.Skip 發生堆疊耗盡和錯誤。(CVE-2022-28131)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)

  - 在 Go 1.17.10 之前版本和 1.18.2 之前的 1.18.x 版本中具有不正確的權限指派。使用非零旗標參數呼叫時，Faccessat 函式可能會錯誤報告檔案可供存取。
    (CVE-2022-29526)

  - 在 Go 1.17.11 之前版本和 1.18.3 版本中，crypto/tls 爲工作階段票證中的 ticket_age_add 使用非隨機值，因此，可觀察 TLS 交握的攻擊者能夠透過在工作階段恢復期間比較票證期限來關聯連續的連線。(CVE-2022-30629)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，io/fs 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30630)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，compress/gzip 的 Reader.Read 中存在不受控制的遞回弱點，攻擊者可藉此透過含有大量串連長度為 0 的壓縮檔案的封存造成堆疊耗盡，進而引致錯誤。(CVE-2022-30631)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，path/filepath 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30632)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/xml 的 Unmarshal 中存在不受控制的遞回弱點，攻擊者可藉此透過將 XML 文件解組到具有使用「any」欄位標籤的巢狀欄位的 Go 結構中來造成堆疊耗盡，進而引致錯誤。(CVE-2022-30633)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/gob 的 Decoder.Decode 中存在不受控制的遞回弱點，攻擊者可藉此透過包含深度巢狀結構的訊息來造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30635)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中存在不當暴露用戶端 IP 位址的弱點，藉由使用包含 nil 值的 Request.Header 對應爲 X-Forwarded-For 標頭呼叫 httputil.ReverseProxy.ServeHTTP 可以觸發此弱點，造成 ReverseProxy 將用戶端 IP 設定為 X-Forwarded-For 標頭的值。(CVE-2022-32148)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它受到 ALAS2023-2023-048 公告中所提及的多個弱點影響。

  - 在 Go 1.15.13 版和 1.16.x 的 1.16.5 之前版本中，封存/ZIP 中特製的檔案數（在封存的標頭中）可能會導致 NewReader 或 OpenReader 錯誤。(CVE-2021-33196)

  - 使用 GOARCH=wasm GOOS=js 時，Go 1.16.9 之前版本和 Go 1.17.x 至 1.17.2 版本會透過大型引數從 WASM 模組叫用函式來造成緩衝區溢位。(CVE-2021-38297)

  - 在早於 1.16.10 版的 Go 和早於 1.17.x 版的 Go 1.17.3 中，debug/macho (針對 Open 或 OpenFat) 中的 ImportedSymbols 會存取緩衝區結尾後的記憶體位置，此情形亦即「超出邊界分割」。
    (CVE-2021-41771)

  - Go 1.16.10 之前版本和 Go 1.17.x 至 1.17.3 版本允許透過建構包含無效名稱或空白檔案名稱欄位的 ZIP 封存造成 archive/zip Reader.Open 錯誤。(CVE-2021-41772)

  - 在早於 1.16.12 版的 Go 和早於 1.17.x 版的  Go 1.17.5 中，net/http 允許透過 HTTP/2 要求在標頭標準化快取中消耗不受控制的記憶體。(CVE-2021-44716)

  - 由於在檔案描述符號耗儘後錯誤關閉檔案描述符號 0，因此 UNIX 上早於 1.16.12 的 Go 版本和早於 1.17.x 的 Go 1.17.5 版本允許寫入非預定檔案或非預定網路連線。(CVE-2021-44717)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中的 HTTP/1 用戶端會接受某些無效的 Transfer-Encoding 標頭，如果配合使用的中繼伺服器與也未正確拒絕此無效標頭，則可以觸發 HTTP 要求走私攻擊。(CVE-2022-1705)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，go/parser 中的 Parse 函式存在不受控制的遞回弱點，攻擊者可藉此透過深度巢狀類型或宣告造成堆疊耗盡，進而引致錯誤。(CVE-2022-1962)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，encoding/pem 允許透過大量 PEM 資料造成解碼堆疊溢位問題。(CVE-2022-24675)

  - Go 1.16.15 之前版本和 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允許透過深度巢狀運算式造成堆疊耗盡。(CVE-2022-24921)

  - 適用於 Go 的 golang.org/x/crypto/ssh 套件 0.0.0-20220314234659-1baeb1ce4c0b 之前版本在涉及 AddHostKey 的某些情況下允許攻擊者造成伺服器當機。(CVE-2022-27191)

  - 在 Go 1.18.6 之前版本和 1.19.1 之前的 1.19.x 版中，攻擊者可在 net/http 中造成拒絕服務，這是因爲如果嚴重錯誤先於關機操作執行，則 HTTP/2 連線可能在關閉期間懸置。(CVE-2022-27664)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/gob 的 Decoder.Decode 中存在不受控制的遞回弱點，攻擊者可藉此透過包含深度巢狀結構的 XML 文件來造成堆疊耗盡，進而引致錯誤。(CVE-2022-28131)

  - 在 Go 1.17.9 之前版本以及 1.18.x 的 1.18.1 之前版本中，crypto/elliptic 的一般 P-256 特徵允許透過長純量輸入造成錯誤。(CVE-2022-28327)

  - Reader.Read 未設定檔案標頭的大小上限。攻擊者可透過惡意特製的封存造成 Read 配置無限量的記憶體，這可能引致資源耗盡或錯誤。
    修正後，Reader.Read 會將標頭區塊的大小上限限制為 1 MiB。(CVE-2022-2879)

  - 在 Go 1.17.10 之前版本和 1.18.2 之前的 1.18.x 版本中具有不正確的權限指派。使用非零旗標參數呼叫時，Faccessat 函式可能會錯誤報告檔案可供存取。
    (CVE-2022-29526)

  - 在 Go 1.17.11 之前版本和 1.18.3 版本中，crypto/tls 爲工作階段票證中的 ticket_age_add 使用非隨機值，因此，可觀察 TLS 交握的攻擊者能夠透過在工作階段恢復期間比較票證期限來關聯連續的連線。(CVE-2022-30629)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，io/fs 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30630)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，compress/gzip 的 Reader.Read 中存在不受控制的遞回弱點，攻擊者可藉此透過含有大量串連長度為 0 的壓縮檔案的封存造成堆疊耗盡，進而引致錯誤。(CVE-2022-30631)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，path/filepath 的 Glob 中存在不受控制的遞回弱點，攻擊者可藉此透過包含大量路徑分隔符號的路徑造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30632)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/xml 的 Unmarshal 中存在不受控制的遞回弱點，攻擊者可藉此透過將 XML 文件解組到具有使用「any」欄位標籤的巢狀欄位的 Go 結構中來造成堆疊耗盡，進而引致錯誤。(CVE-2022-30633)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，encoding/gob 的 Decoder.Decode 中存在不受控制的遞回弱點，攻擊者可藉此透過包含深度巢狀結構的訊息來造成堆疊耗盡，進而引致錯誤。
    (CVE-2022-30635)

  - 在 Go 1.17.12 之前版本和 Go 1.18.4 版中，net/http 中存在不當暴露用戶端 IP 位址的弱點，藉由使用包含 nil 值的 Request.Header 對應爲 X-Forwarded-For 標頭呼叫 httputil.ReverseProxy.ServeHTTP 可以觸發此弱點，造成 ReverseProxy 將用戶端 IP 設定為 X-Forwarded-For 標頭的值。(CVE-2022-32148)

  - 在 Go 1.17.13 之前版本和 1.18.5 版中，編碼訊息太短可造成 math/big 中的 Float.GobDecode 和 Rat GobDecode 發生錯誤，進而可能導致拒絕服務。(CVE-2022-32189)

  - JoinPath 和 URL.JoinPath 不會移除附加到相對路徑的 ../ path 元素。例如，儘管 JoinPath 文件指出「已從結果中移除 ../ path 元素」，但 JoinPath(https://go.dev, ../go) 仍會傳回 URL https://go.dev/../go。(CVE-2022-32190)

  - 編譯來自非受信任來源的規則運算式的程式可能容易受到記憶體耗盡或拒絕服務攻擊。剖析的規則運算式的表示法與輸入的大小成線性關係，但在某些情況下，常數因子可高達 40,000，使得相對較小的 regexp 會消耗大量記憶體。修正後，將每個要剖析的規則運算式的記憶體佔用量都限制為 256 MB。如果表示法佔用的空間超過限制，此規則運算式會遭到拒絕。正常使用的規則運算式不受影響。(CVE-2022-41715)

  - 由於未清理 NUL 值，攻擊者可能能夠在 Windows 上惡意設定環境變數。
    在 syscall.StartProcess 和 os/exec.Cmd 中，未正確檢查包含 NUL 值的無效環境變數值。惡意的環境變數值可利用此行為，為不同的環境變數設定值。例如，環境變數字串 A=B\x00C=D 設定變數 A=B 和 C=D。 (CVE-2022-41716)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2023-175 公告中所提及的多個弱點影響。

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - ReverseProxy 轉送的要求包含來自傳入要求的原始查詢參數，包括 net/http 拒絕的無法剖析的參數。當 Go Proxy 轉送具有無法剖析的值的參數時，可以觸發查詢參數走私。修正後，在 ReverseProxy 之後設定傳出要求的 Form 欄位時，ReverseProxy 會清理轉送的查詢中的查詢參數。Director 函式傳回，表示 Proxy 已剖析此查詢參數。不剖析查詢參數的 Proxy 會繼續原封不動地轉送原始查詢參數。(CVE-2022-2880)

  - 在 Go 1.17.11 和 Go 1.18.3 之前版本中，os/exec 的 Cmd.Start 中存在程式碼插入弱點，允許在未設定 Cmd.Path 的情況下，透過呼叫 Cmd.Run、Cmd.Start、Cmd.Output 或 Cmd.CombinedOutput() 在名為 ..com 或 ..exe 的工作目錄中執行任何二進位檔。(CVE-2022-30580)

  - 在 Windows 系統中的 Go 1.17.11 和 Go 1.18.3 之前版本中， crypto/rand 的 Read 中存在無限迴圈弱點，允許攻擊者透過傳送大於 1 << 32 - 1 位元組的緩衝區造成無限期懸置。(CVE-2022-30634)

  - 攻擊者可在接受 HTTP/2 要求的 Go 伺服器中造成記憶體過度增長。HTTP/2 伺服器連線包含用戶端傳送的 HTTP 標頭金鑰快取。雖然此快取中的項目總數設有上限，但攻擊者如果傳送非常大的金鑰，即可造成伺服器為每個開啟的連線配置大約 64 MiB。(CVE-2022-41717)

  - Windows 中的 filepath.Clean 存在路徑遊走弱點。在 Windows 中，filepath.Clean 函式可將無效路徑 (例如 a/../c: /b 轉換為有效路徑 c:\b。相對路徑 (若無效) 的這種轉換可觸發目錄遊走攻擊。修正之後，filepath.Clean 函式會將此路徑轉換為相對 (但仍無效的) 路徑。\c:\b。(CVE-2022-41722)

  - 大量交握記錄可造成 crypto/tls 發生錯誤。用戶端和伺服器都可能傳送大量 TLS 交握記錄，這會分別造成伺服器和用戶端在嘗試建構回應時發生錯誤。此問題會影響所有 TLS 1.3 用戶端、明確啟用工作階段恢復的 TLS 1.2 用戶端 (透過將 Config.ClientSessionCache 設為非 nil 值)，以及要求用戶端憑證的 TLS 1.3 伺服器 (透過設定 Config.ClientAuth >= RequestClientCert) 。(CVE-2022-41724)

  - net/http 和 mime/multipart 中可能存在因資源消耗過度導致的拒絕服務問題。
    使用 mime/multipart.Reader.ReadForm 剖析 Multipart 表單時，可能會大量消耗無限量的記憶體和磁碟檔案。這也會影響 net/http 套件中使用 Request 方法 FormFile、FormValue、ParseMultipartForm 和 PostFormValue 剖析表單的情況。ReadForm 採用 maxMemory 參數，並記錄為在記憶體中最多儲存 maxMemory 位元組 +10MB (為非檔案部分保留的空間)。無法儲存在記憶體中的檔案部分會儲存在磁碟上的暫存檔中。為非檔案部分保留的無法設定的 10MB 過大，可能會自行開啟拒絕服務媒介。但是，ReadForm 並未正確考量已剖析表單消耗的所有記憶體，例如對應項目額外負荷、部分名稱和 MIME 標頭，這允許惡意製作的表單消耗記憶體容量超過 10MB。此外，ReadForm 對建立的磁碟檔案數量沒有限制，允許相對較小的要求內文建立大量的磁碟暫存檔。修正後，ReadForm 現在會正確考量各種形式的記憶體額外負荷，並且現在應保持在其記錄的 10MB + maxMemory 位元組記憶體消耗範圍內。使用者仍應注意，此限制較高且可能仍然存在危險。此外，ReadForm 現在最多可建立一個磁碟上暫存檔，將多個表單部分合併為一個暫存檔。mime/multipart.File 介面類型的文件指出，如果儲存在磁碟上，檔案的基礎具體類型將為 *os.File.。如果表單包含多個檔案部分，則因為要將部分合併到一個檔案中，所以情況不再如此。之前針對每個表單部分使用不同檔案的行為，可透過環境變數 GODEBUG=multipartfiles=distinct 重新啟用。使用者應注意，multipart.ReadForm 和呼叫它的 http.Request 方法不會限制暫存檔消耗的磁碟量。呼叫者可使用 http.MaxBytesReader 限製表單資料的大小。(CVE-2022-41725)

  - 如果使用某些特定的未歸約純量 (大於曲線階數的純量) 呼叫 P256 Curve 的 ScalarMult 和 ScalarBaseMult 方法，可能會傳回錯誤結果。這不會影響 crypto/ecdsa 或 crypto/ecdh 的使用。(CVE-2023-24532)

  - 即使在剖析小輸入時，HTTP 和 MIME 標頭剖析仍可配置大量記憶體，進而可能導致拒絕服務。輸入資料的某些異常模式可造成用於剖析 HTTP 和 MIME 標頭的通用函式配置比保留已剖析標頭所需的更多的記憶體。攻擊者可惡意利用此行為，造成 HTTP 伺服器從小型要求配置大量記憶體，進而可能導致記憶體耗盡和拒絕服務。
    經過修正，標頭剖析現在只會正確配置保留已剖析標頭所需的記憶體。
    (CVE-2023-24534)

  - 處理含有極大量部分的表單輸入時，多部分表單剖析會消耗大量 CPU 和記憶體。這源於數個原因：1. mime/multipart.Reader.ReadForm 限制已剖析的多部分錶單可消耗的總記憶體。ReadForm 可低估消耗的記憶體量，導致其接受比預期更大的輸入。2. 限制總記憶體並未將具有許多部分的表單中的大量小配置對記憶體回收行程增加的壓力考慮在內。3.
    ReadForm 可配置大量存留期短的緩衝區，進一步增加記憶體回收行程的壓力。這些因素結合在一起，可允許攻擊者造成剖析多部分錶單的程式消耗大量 CPU 和記憶體，進而可能導致拒絕服務。
    這會影響使用 mime/multipart.Reader.ReadForm 的程式，以及具有 Request 方法 FormFile、FormValue、ParseMultipartForm 和 PostFormValue 的 net/http 套件中的表單剖析。經過修正，ReadForm 現在可以更好地估計已剖析表單的記憶體消耗，並減少執行短期配置。此外，已修正的 mime/multipart.Reader 對剖析表單的大小進行了下列限制：1. 使用 ReadForm 剖析的表單最多可包含 1000 個部分。此限制可使用環境變數 GODEBUG=multipartmaxparts= 進行調整。 2. 使用 NextPart 和 NextRawPart 剖析的表單部分包含的標頭欄位不得超過 10,000。此外，使用 ReadForm 剖析的表單在所有部分中包含的標題欄位不得超過 10,000 個。此限制可使用環境變數 GODEBUG=multipartmaxheaders= 進行調整。(CVE-2023-24536)

  - 若在 Go 原始程式碼上呼叫含有非常大行數的 //line 指示詞的任何剖析函式，可因整數溢位而造成無限迴圈。(CVE-2023-24537)

  - 範本未正確將反引號 (`) 視為 Javascript 字串分隔符號，也未如預期對其進行逸出。自 ES6 起，JS 範本常值使用反引號。如果範本在 Javascript 範本常值中包含 Go 範本動作，則可使用動作內容終止該常值，從而將任意 Javascript 程式碼插入 Go 範本。由於 ES6 範本常值相當複雜，而且本身可以進行字串插入，因此決定簡單地禁止在其中使用 Go 範本動作 (例如 var a = {{.}})，因為此行為沒有明確可行的安全方法。這與 github.com/google/safehtml 所採用的方法相同。經過修正，Template.Parse 在遇到此類範本時會傳回 ErrorCode 值為 12 的錯誤。此 ErrorCode 目前未匯出，但將在 Go 1.21 版中匯出。依賴先前行為的使用者可使用 GODEBUG 旗標 jstmpllitinterp=1 重新執行該行為，但需要注意的是現在將逸出反引號。應謹慎使用。(CVE-2023-24538)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2022-1819 公告中提及的多個弱點影響。

  - 在 Go 1.16.8 之前版本和 1.17.x 至 1.17.1 版本中，archive/zip 中建構的 archive 標頭 (錯誤指定存有多個檔案) 可能會導致 NewReader 或 OpenReader 錯誤。注意：此問題之所以存在，是因為 CVE-2021-33196 的修正不完整。(CVE-2021-39293)

  - Go 1.16.10 之前版本和 Go 1.17.x 至 1.17.3 版本允許透過建構包含無效名稱或空白檔案名稱欄位的 ZIP 封存造成 archive/zip Reader.Open 錯誤。(CVE-2021-41772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 使用 GOARCH=wasm GOOS=js 時，Go 1.16.9 之前版本和 Go 1.17.x 至 1.17.2 版本會透過大型引數從 WASM 模組叫用函式來造成緩衝區溢位。(CVE-2021-38297)

  - 在早於 1.16.10 版的 Go 和早於 1.17.x 版的 Go 1.17.3 中，debug/macho (針對 Open 或 OpenFat) 中的 ImportedSymbols 會存取緩衝區結尾後的記憶體位置，此情形亦即「超出邊界分割」。
    (CVE-2021-41771)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7/8 主機上安裝的多個套件受到 RHSA-2022: 5729 公告中提及的多個弱點影響。

  - golang：使用 cgo 的 cmd/go: 分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang：crypto/elliptic：IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

  - golang：編碼/pem：修正 Decode 中的堆疊溢位 (CVE-2022-24675)

  - golang：regexp：透過深度巢狀運算式造成堆疊耗盡 (CVE-2022-24921)

  - golang：crypto/elliptic：過大的純量造成的錯誤 (CVE-2022-28327)

  - golang：syscall：faccessat 檢查錯誤群組 (CVE-2022-29526)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 golang 版本早於 1.16.15-1。因此，會受到 ALAS2-2022-1811 公告中所提及的多個弱點影響。

  - 使用 GOARCH=wasm GOOS=js 時，Go 1.16.9 之前版本和 Go 1.17.x 至 1.17.2 版本會透過大型引數從 WASM 模組叫用函式來造成緩衝區溢位。(CVE-2021-38297)

  - 在 Go 1.16.8 之前版本和 1.17.x 至 1.17.1 版本中，archive/zip 中建構的 archive 標頭 (錯誤指定存有多個檔案) 可能會導致 NewReader 或 OpenReader 錯誤。注意：此問題之所以存在，是因為 CVE-2021-33196 的修正不完整。(CVE-2021-39293)

  - 在早於 1.16.10 版的 Go 和早於 1.17.x 版的 Go 1.17.3 中，debug/macho (針對 Open 或 OpenFat) 中的 ImportedSymbols 會存取緩衝區結尾後的記憶體位置，此情形亦即「超出邊界分割」。
    (CVE-2021-41771)

  - Go 1.16.10 之前版本和 Go 1.17.x 至 1.17.3 版本允許透過建構包含無效名稱或空白檔案名稱欄位的 ZIP 封存造成 archive/zip Reader.Open 錯誤。(CVE-2021-41772)

  - 在早於 1.16.12 版的 Go 和早於 1.17.x 版的  Go 1.17.5 中，net/http 允許透過 HTTP/2 要求在標頭標準化快取中消耗不受控制的記憶體。(CVE-2021-44716)

  - 由於在檔案描述符號耗儘後錯誤關閉檔案描述符號 0，因此 UNIX 上早於 1.16.12 的 Go 版本和早於 1.17.x 的 Go 1.17.5 版本允許寫入非預定檔案或非預定網路連線。(CVE-2021-44717)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，math/big 的 Rat.SetString 內有溢位問題，可能導致不受控制的記憶體消耗。(CVE-2022-23772)

  - 在 Go 1.16.14 之前版本和 1.17.x 至 1.17.7 版本中，cmd/go 會錯誤地將分支名稱解釋為版本標籤。如果執行者能夠建立分支，但不能建立標籤，此弱點有可能會導致不正確的存取控制問題。(CVE-2022-23773)

  - 在 Go 1.16.14 之前版本和 Go 1.17.x 至 1.17.7 版本中，crypto/elliptic 內的 Curve.IsOnCurve 在 big.Int 值不是有效欄位元素的情況下，可能會不正確地傳回 true。(CVE-2022-23806)

  - Go 1.16.15 之前版本和 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允許透過深度巢狀運算式造成堆疊耗盡。(CVE-2022-24921)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2022:5002 公告中提及的多個弱點影響。

  - golang.org/x/crypto：空白純文字封包可導致錯誤 (CVE-2021-43565)

  - golang: net/http：不當清理 Transfer-Encoding 標頭 (CVE-2022-1705)

  - ignition：可從 VMware 產品上執行的 VM 中的無權限容器存取組態 (CVE-2022-1706)

  - prometheus/client_golang：使用 InstrumentHandlerCounter 的拒絕服務 (CVE-2022-21698)

  - golang: encoding/pem：由於 Rat.SetString 中未處理的溢位問題，導致記憶體消耗不受控制 (CVE-2022-23772)

  - golang: cmd/go：分支名稱誤解可導致不正確存取控制 (CVE-2022-23773)

  - golang: crypto/elliptic：IsOnCurve 為無效欄位元素傳回 true (CVE-2022-23806)

  - golang: encoding/pem：修正 Decode 中的堆疊溢位問題 (CVE-2022-24675)

  - golang: regexp：透過深度巢狀運算式造成堆疊耗盡 (CVE-2022-24921)

  - golang：golang.org/x/crypto/ssh 伺服器當機 (CVE-2022-27191)

  - golang: crypto/elliptic：過大的純量造成的錯誤 (CVE-2022-28327)

  - runc：未正確處理可繼承的功能 (CVE-2022-29162)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
163840	GLSA-202208-02：Go：多個弱點	Nessus	Gentoo Local Security Checks	2022/8/4	2023/10/16	critical
160902	CentOS 8：go-toolset: rhel8 (CESA-2022：1819)	Nessus	CentOS Local Security Checks	2022/5/10	2023/10/27	critical
161000	RHEL 8：go-toolset: rhel8 (RHSA-2022：1819)	Nessus	Red Hat Local Security Checks	2022/5/11	2024/4/28	critical
164864	RHEL 7/8：OpenShift 容器平台 4.10.28 套件和 (RHSA-2022: 6094)	Nessus	Red Hat Local Security Checks	2022/9/8	2024/4/28	critical
164877	RHEL 8：Red Hat OpenShift Service Mesh 2.1.3 (RHSA-2022: 5004)	Nessus	Red Hat Local Security Checks	2022/9/8	2024/4/28	critical
171650	Amazon Linux AMI：(ALAS-2023-1685)	Nessus	Amazon Linux Local Security Checks	2023/2/20	2023/9/4	critical
194215	RHEL 8：Release of OpenShift Serverless Client kn 1.22.1 (中等) (RHSA-2022:4860)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/4/28	critical
182007	Amazon Linux 2：golang (ALASGOLANG1.19-2023-002)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2023/10/2	critical
161946	Oracle Linux 8：go-toolset: ol8addon (ELSA-2022-14857)	Nessus	Oracle Linux Local Security Checks	2022/6/8	2023/10/25	critical
163918	Amazon Linux 2：golang (ALAS-2022-1830)	Nessus	Amazon Linux Local Security Checks	2022/8/8	2023/12/8	critical
168435	Amazon Linux AMI：golang (ALAS-2022-1635)	Nessus	Amazon Linux Local Security Checks	2022/12/7	2023/12/5	critical
173069	Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2023-048)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/12/12	critical
175071	Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2023-175)	Nessus	Amazon Linux Local Security Checks	2023/5/3	2023/5/4	critical
161286	Oracle Linux 8：go-toolset: ol8 (ELSA-2022-1819)	Nessus	Oracle Linux Local Security Checks	2022/5/18	2023/10/27	critical
164871	RHEL 7/8：OpenShift Container Platform 4.10.25 (RHSA-2022: 5729)	Nessus	Red Hat Local Security Checks	2022/9/8	2024/4/28	critical
163229	Amazon Linux 2：golang (ALAS-2022-1811)	Nessus	Amazon Linux Local Security Checks	2022/7/15	2023/10/17	critical
164846	RHEL 8：OpenShift Container Platform 4.11.0 (RHSA-2022:5068)	Nessus	Red Hat Local Security Checks	2022/9/8	2024/4/23	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical