来自 Red Hat 安全公告 2016:1538：

golang 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

golang 程序包提供 Go 编程语言编译器。

下列程序包已升级到更新的上游版本：
golang (1.6.3)。(BZ#1346331)

安全补丁：

* 在内置于 CGI 实现的 Go 编程语言中发现一个输入验证缺陷，其使用传入的“Proxy”HTTP 请求标头设置环境变量“HTTP_PROXY”。
多个 Web 客户端使用环境变量“HTTP_PROXY”（包括 Go 的 net/http 程序包）指定要用于 HTTP（某些情况下为 HTTPS）请求的代理服务器。这表示基于 CGI 的 web 应用程序运行时，攻击者可指定代理服务器，接着应用程序会使用这个代理服务器发出后续传出请求，进而允许中间人攻击。(CVE-2016-5386)

Red Hat 在此感谢 Scott Geary (VendHQ) 报告此问题。

检测

Oracle Linux 7：golang (ELSA-2016-1538)

critical Nessus 插件 ID 92687

未找到变更日志