CVE-2016-5386（也称为 https://httpoxy.org/）的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 更新系统网站提取上述描述块。
Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

golang 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

golang 程序包提供 Go 编程语言编译器。

下列程序包已升级到更新的上游版本：
golang (1.6.3)。(BZ#1346331)

安全补丁：

* 在内置于 CGI 实现的 Go 编程语言中发现一个输入验证缺陷，其使用传入的“Proxy”HTTP 请求标头设置环境变量“HTTP_PROXY”。
多个 Web 客户端使用环境变量“HTTP_PROXY”（包括 Go 的 net/http 程序包）指定要用于 HTTP（某些情况下为 HTTPS）请求的代理服务器。这表示基于 CGI 的 web 应用程序运行时，攻击者可指定代理服务器，接着应用程序会使用这个代理服务器发出后续传出请求，进而允许中间人攻击。(CVE-2016-5386)

Red Hat 在此感谢 Scott Geary (VendHQ) 报告此问题。

在内置于 CGI 实现的 Go 编程语言中发现一个输入验证缺陷，其使用传入的“Proxy”HTTP 请求标头设置环境变量“HTTP_PROXY”。多个 Web 客户端使用环境变量“HTTP_PROXY”（包括 Go 的 net/http 程序包）指定要用于 HTTP（某些情况下为 HTTPS）请求的代理服务器。这表示基于 CGI 的 web 应用程序运行时，攻击者可指定代理服务器，接着应用程序会使用这个代理服务器发出后续传出请求，进而允许中间人攻击。

下列程序包已升级到更新的上游版本：
golang (1.6.3)。

安全补丁：

- 在内置于 CGI 实现的 Go 编程语言中发现一个输入验证缺陷，其使用传入的“Proxy”HTTP 请求标头设置环境变量“HTTP_PROXY”。多个 Web 客户端使用环境变量“HTTP_PROXY”（包括 Go 的 net/http 程序包）指定要用于 HTTP（某些情况下为 HTTPS）请求的代理服务器。这表示基于 CGI 的 web 应用程序运行时，攻击者可指定代理服务器，接着应用程序会使用这个代理服务器发出后续传出请求，进而允许中间人攻击。
 (CVE-2016-5386)

此更新解决了影响与 go 静态链接的代码的安全问题：

- CVE-2016-5386：远程攻击者可通过 Proxy 标头来设置 HTTP_PROXY 环境变量 (bsc#988487)

远程主机上安装的 Oracle Enterprise Manager Grid Control 版本缺少一个安全修补程序。因而会受到多个漏洞的影响：- 由于未正确验证椭圆曲线中的点，Bouncy Castle Java 库中存在缺陷。未经身份验证的远程攻击者可利用此问题，通过使用一系列特制的椭圆曲线 Diffie-Hellman (ECDH) 密钥交换（亦称作“无效曲线攻击”），获得私钥。(CVE-2015-7940) - Perl 的 PathTools 模块中的 File::Spec::canonpath() 函数中存在缺陷，会在即使传输已污染的输入时，仍返回无污染字符串时会触发。未经身份验证的远程攻击者可利用此问题，将未经身份验证的用户输入传递至敏感或不安全区域。(CVE-2015-8607) - 由于未正确验证用户提供的输入，Perl 的 MapPathA() 函数中存在溢出情况。未经身份验证的远程攻击者可利用此问题造成拒绝服务情况或执行任意代码。(CVE-2015-8608) - 由于未正确处理 ActionForm 实例的多线程访问，Apache Struts 组件中存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的多部分请求，执行任意代码或造成拒绝服务情况。(CVE-2016-1181) - Perl 中存在缺陷，当处理在环境 (envp)中出现两次的变量时会触发，造成 %ENV 中出现最末值，而 getenv 返回首个值。未经身份验证的远程攻击者可利用此问题，造成变量错误传播至子进程，与污染检查提供的保护无关。(CVE-2016-2381) - 处理文件上传请求时，由于未正确处理内容类型标头的边界，Apache Commons FileUpload 组件中存在拒绝服务漏洞。未经身份验证的远程攻击者可利用此问题，造成链接到库的进程无响应。(CVE-2016-3092) - 由于无法正确依据 RFC 3875 第 4.1.18 节解决命名空间冲突，多个组件（亦称作 ‘httpoxy’）中存在中间人漏洞。HTTP_PROXY 环境变量是基于 HTTP 请求的“Proxy”标头中不受信任的用户数据所设置。某些 Web 客户端库会使用 HTTP_PROXY 环境变量来指定远程代理服务器。未经身份验证的远程攻击者可利用此问题，通过 HTTP 请求中构建的“Proxy”标头，将应用程序的内部 HTTP 流量重定向到其可观察或操控的任意代理服务器。(CVE-2016-5385, CVE-2016-5386, CVE-2016-5387, CVE-2016-5388) - OpenSSL 组件的 x86_64 Montgomery 平方运算实现中存在一个进位传播错误，可造成 BN_mod_exp() 函数产生错误结果。未经身份验证却具有充足资源的远程攻击者可利用此问题，获取有关私钥的敏感信息。另外，在具有持久性 DH 参数且多个客户端共享私钥的情况下，攻击者还需要额外使用目标私钥，在线访问未经修复的系统。例如，在基于 OpenSSL DHE 的 SSL/TLS 密码套件中，默认会发生上述情况。(CVE-2017-3732) - UI Framework 组件中存在不明缺陷，允许经身份验证的远程攻击者影响完整性。(CVE-2017-10091)

远程 Web 服务器上运行的 Web 应用程序受到一个中间人漏洞（称为“httpoxy”）影响，造成此漏洞的原因是无法依据 RFC 3875 第 4.1.18 节妥善地解决命名空间冲突。HTTP_PROXY 环境变量是基于 HTTP 请求的“Proxy”标头中不受信任的用户数据所设置。某些 Web 客户端库会使用 HTTP_PROXY 环境变量来指定远程代理服务器。未经认证的远程攻击者可利用此问题，通过 HTTP 请求中构建的“Proxy”标头，将应用程序的内部 HTTP 流量重定向到其可观察或操控的任意代理服务器。

来自 Red Hat 安全公告 2016:1538：

golang 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

golang 程序包提供 Go 编程语言编译器。

下列程序包已升级到更新的上游版本：
golang (1.6.3)。(BZ#1346331)

安全补丁：

* 在内置于 CGI 实现的 Go 编程语言中发现一个输入验证缺陷，其使用传入的“Proxy”HTTP 请求标头设置环境变量“HTTP_PROXY”。
多个 Web 客户端使用环境变量“HTTP_PROXY”（包括 Go 的 net/http 程序包）指定要用于 HTTP（某些情况下为 HTTPS）请求的代理服务器。这表示基于 CGI 的 web 应用程序运行时，攻击者可指定代理服务器，接着应用程序会使用这个代理服务器发出后续传出请求，进而允许中间人攻击。(CVE-2016-5386)

Red Hat 在此感谢 Scott Geary (VendHQ) 报告此问题。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
92615	Fedora 23：golang (2016-340e361b90)	Nessus	Fedora Local Security Checks	2016/7/29	2021/1/11	high
92693	RHEL 7：golang (RHSA-2016:1538)	Nessus	Red Hat Local Security Checks	2016/8/3	2019/10/24	critical
93009	Amazon Linux AMI：golang (ALAS-2016-731) (httpoxy)	Nessus	Amazon Linux Local Security Checks	2016/8/18	2018/4/18	high
92722	Scientific Linux 安全更新：SL7.x x86_64 上的 golang	Nessus	Scientific Linux Local Security Checks	2016/8/4	2021/1/14	high
92933	openSUSE 安全更新：go (openSUSE-2016-979)	Nessus	SuSE Local Security Checks	2016/8/12	2021/1/19	high
101837	Oracle Enterprise Manager Grid Control Multiple Vulnerabilities (July 2017 CPU) (httpoxy)	Nessus	Misc.	2017/7/20	2022/4/11	critical
92539	HTTP_PROXY 环境变量命名空间冲突漏洞 (httpoxy)	Nessus	Web Servers	2016/7/25	2022/4/11	high
92622	Fedora 24：golang (2016-ea5e284d34)	Nessus	Fedora Local Security Checks	2016/7/29	2021/1/11	high
92680	CentOS 7：golang (CESA-2016:1538)	Nessus	CentOS Local Security Checks	2016/8/3	2021/1/4	critical
92687	Oracle Linux 7：golang (ELSA-2016-1538)	Nessus	Oracle Linux Local Security Checks	2016/8/3	2021/1/14	critical

检测

插件搜索

high

critical

high

high

high

critical

high

high

critical

critical