远程主机上安装的 golang 版本低于 1.16.15-1.37。因此，它受到公告 ALAS-2022-1583 中提及的多个漏洞影响。

  - 在 Go 1.16.x 的 1.16.1 之前版本中，archive/zip 允许攻击者在对任何文件名开头出现 ../ 的 ZIP 存档尝试使用 Reader.Open API 时造成程序拒绝服务（发生错误）。(CVE-2021-27919)

  - 在 Go 1.16.9 之前版本以及 Go 1.17.x 至 1.17.2 版本中使用 GOARCH=wasm GOOS=js 时，通过大型参数从 WASM 模块调用函数会产生缓冲区溢出问题。(CVE-2021-38297)

  - 1.16.10 之前的 Go 版本和 1.17.3 之前的 Go 1.17.x 版本的 debug/macho（适用于 Open 或 OpenFat）中的 ImportedSymbols 会访问缓冲区末尾之后的内存位置，此情况也称为“越界切片”。
    (CVE-2021-41771)

  - Go 1.16.10 之前版本以及 Go 1.17.x 至 1.17.3 版本允许通过构建具有无效名称或空文件名字段的 ZIP 存档来造成 archive/zip Reader.Open 故障。(CVE-2021-41772)

  - 在 1.16.12 版之前的 Go 和 1.17.x 版之前的 Go 1.17.5 中，net/http 允许通过 HTTP/2 请求在标头规范化缓存中消耗不受控制的内存。(CVE-2021-44716)

  - 在 UNIX 上，1.16.12 之前的 Go 版本和 1.17.5 之前的 Go 1.17.x 版本允许对非预期文件或非预期网络连接执行写入操作，原因是在文件描述符耗尽后错误关闭文件描述符 0。(CVE-2021-44717)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Amazon Linux AMI：golang (ALAS-2022-1583)

critical Nessus 插件 ID 160332

版本 1.4