Amazon Linux AMI : golang (ALAS-2017-918)

critical Nessus 插件 ID 104392

语言：

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

在 go get 或 go get -d 期间发现任意代码执行：Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042)

解决方案

运行 'yum update golang' 以更新系统。

另见

https://alas.aws.amazon.com/ALAS-2017-918.html

插件详情

严重性: Critical

ID: 104392

文件名: ala_ALAS-2017-918.nasl

版本: 3.3

类型: local

代理: unix

系列: Amazon Linux Local Security Checks

发布时间: 2017/11/6

最近更新时间: 2018/4/18

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:amazon:linux:golang, p-cpe:/a:amazon:linux:golang-bin, p-cpe:/a:amazon:linux:golang-docs, p-cpe:/a:amazon:linux:golang-misc, p-cpe:/a:amazon:linux:golang-race, p-cpe:/a:amazon:linux:golang-src, p-cpe:/a:amazon:linux:golang-tests, cpe:/o:amazon:linux

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

补丁发布日期: 2017/11/2

参考资料信息

CVE: CVE-2017-15041, CVE-2017-15042

ALAS: 2017-918