远程 Redhat Enterprise Linux 7 / 8 主机上安装的程序包受到 RHSA-2020: 3369 公告中提及的多个漏洞的影响。

  - jquery：通过传递给 DOM 操纵方法的 HTML 中的 <option> 标签执行不受信任的代码 (CVE-2020-11023)

  - macaron：静态处理程序中的开放重定向 (CVE-2020-12666)

  - golang.org/x/text: 在编码/unicode 中触发无限循环的可能性会导致崩溃 (CVE-2020-14040)

  - nodejs-lodash：zipObjectDeep 函数中的原型污染 (CVE-2020-8203)

  - golang.org/x/crypto: 处理特别构建的 ssh-ed25519 公钥可导致错误 (CVE-2020-9283)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

golang-go.crypto 最近更新了针对 CVE-2020-9283 的修复。
这反而会要求重新编译所有使用受影响代码的程序包，从而获取安全补丁。

CVE-2020-9283

如果提供无效的公钥，SSH 签名验证可导致错误。

针对 Debian 9 stretch，此问题已在 0.10.2+dfsg-6+deb9u1 版本中修复。

我们建议您升级 packer 程序包。

如需了解 packer 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/packer

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Debian 10 主机上安装的一个程序包受到 dla-3455 公告中提及的多个漏洞影响。

  在 2019-03-20 之前的附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。在 golang.org/x/crypto/salsa20 和 golang.org/x/crypto/salsa20/salsa 的 amd64 实现中发现一个缺陷。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。(CVE-2019-11840)

  在附属 Go 密码库 2019-03-25 的 crypto/openpgp/clearsign/clearsign.go 中发现消息伪造问题。根据 RFC 4880 第 7 章中的 OpenPGP 消息格式规范，明文签名消息可包含一个或多个可选 Hash Armour 标头。Hash Armor 标头指定了用于签名的消息摘要算法。但是，Go 明文签名程序包忽略了此标头的值，这使得攻击者能够对其进行伪造。因此，攻击者可导致受害者相信该签名是使用与实际使用的消息摘要算法不同的消息摘要算法生成的。此外，由于该库通常会跳过 Armor 标头解析，因此攻击者不仅可以嵌入任意 Armor 标头，还能够在不使签名失效的情况下，在明文消息前加上任意文本。(CVE-2019-11841)

  - 在 v0.0.0-20200220183623-bac4c82f6975 之前的 Go 中，golang.org/x/crypto 使 golang.org/x/crypto/ssh 程序包签名验证期间可以发生错误。客户端可攻击接受公钥的 SSH 服务器。此外，服务器还可攻击任何 SSH 客户端。(CVE-2020-9283)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

golang-go.crypto 最近更新了针对 CVE-2020-9283 的修复。
这反而会要求重新编译所有使用受影响代码的程序包，从而获取安全补丁。

CVE-2020-9283

如果提供无效的公钥，SSH 签名验证可导致错误。

针对 Debian 9 stretch，此问题已在 0.3.3-1+deb9u1 版本中修复。

我们建议您升级 restic 程序包。

如需了解 restic 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/restic

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

CVE-2019-11840

在附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。

CVE-2019-11841

在附属 Go 密码库的 crypto/openpgp/clearsign/clearsign.go 中发现消息伪造问题。“Hash” Armor 标头指定了用于签名的消息摘要算法。由于该库通常会跳过 Armor 标头解析，因此攻击者不仅可以嵌入任意 Armor 标头，还能够在不使签名失效的情况下，在明文消息前加上任意文本。

CVE-2020-9283

golang.org/x/crypto 使 golang.org/x/crypto/ssh 程序包签名验证期间可以发生错误。客户端可攻击接受公钥的 SSH 服务器。此外，服务器还可攻击任何 SSH 客户端。

针对 Debian 9 stretch，这些问题已在 1:0.0~git20170407.0.55a552f+REALLY.0.0~git20161012.0.5f31782-1+deb8u1 版本中修复。

我们建议您升级 golang-go.crypto 程序包。

如需了解 golang-go.crypto 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-go.crypto

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
139385	RHEL 7 / 8：Red Hat OpenShift Service Mesh (RHSA-2020: 3369)	Nessus	Red Hat Local Security Checks	2020/8/7	2024/4/28	high
143109	Debian DLA-2455-1：packer 安全更新	Nessus	Debian Local Security Checks	2020/11/19	2020/11/25	high
177400	Debian DLA-3455-1：golang-go.crypto - LTS 安全更新	Nessus	Debian Local Security Checks	2023/6/16	2023/12/8	medium
142936	Debian DLA-2453-1：restic 安全更新	Nessus	Debian Local Security Checks	2020/11/17	2024/2/8	high
141271	Debian DLA-2402-1：golang-go.crypto 安全更新	Nessus	Debian Local Security Checks	2020/10/8	2023/12/21	medium

检测

插件搜索

high

high

medium

high

medium