GLSA-202209-26: Go：多个漏洞

high Nessus 插件 ID 165543

语言：

描述

远程主机受到 GLSA-202209-26 中所述漏洞的影响（Go：多个漏洞）

- 在 Go 1.18.6 之前版本以及 1.19.1 之前的 1.19.x 版中，如果关闭操作被致命错误抢占，则 HTTP/2 连接可在关闭期间挂起，攻击者可借此通过 net/http 造成拒绝服务。(CVE-2022-27664)

- JoinPath 和 URL.JoinPath 不会删除附加到相对路径的 ../ path 元素。例如，尽管 JoinPath 文档指出已从结果中删除 ../ path 元素，JoinPath(https://go.dev, ../go) 仍会返回 URL https://go.dev/../go。(CVE-2022-32190)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

所有 Go 用户皆应升级到最新版本： # emerge --sync # emerge --ask --oneshot
--verbose >=dev-lang/go-1.18.6 此外，使用 Portage 3.0.9 或更高版本的用户应通过重新构建 @golang-rebuild 集，确保具有 Go 二进制文件的程序包没有易受攻击的代码以静态方式链接到其二进制文件中：
# emerge --ask --oneshot --verbose @golang-rebuild