Debian DLA-2485-1：golang-golang-x-net-dev 安全更新（Ping 洪流）（重置洪流）

high Nessus 插件 ID 143594

语言：

简介

远程 Debian 主机缺少安全更新。

描述

此程序包中的 http2 服务器支持容易受到某些类型的 DOS 攻击。

CVE-2019-9512

此代码容易受到 ping 洪流攻击，可能导致拒绝服务。攻击者向 HTTP/2 对等体发送连续 ping，导致对等体构建内部响应队列。
根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。

CVE-2019-9514

此代码容易受到重置洪流攻击，可能导致拒绝服务。攻击者打开多个流，并通过每个流发送一个无效请求，该请求应该从对等体请求 RST_STREAM 帧流。根据对等机 RST_STREAM 帧排队的方式，这种攻击可能会过度消耗内存、CPU 或两者兼有。

对于 Debian 9 Stretch，已在版本 1:0.0+git20161013.8b4af36+dfsg-3+deb9u1 中修复这些问题。

建议您升级 golang-golang-x-net-dev 程序包。

如需了解 golang-golang-x-net-dev 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-golang-x-net-dev

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。