远程 Debian 10 主机上安装的一个程序包受到 dla-3455 公告中提及的多个漏洞影响。

  在 2019-03-20 之前的附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。在 golang.org/x/crypto/salsa20 和 golang.org/x/crypto/salsa20/salsa 的 amd64 实现中发现一个缺陷。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。(CVE-2019-11840)

  在附属 Go 密码库 2019-03-25 的 crypto/openpgp/clearsign/clearsign.go 中发现消息伪造问题。根据 RFC 4880 第 7 章中的 OpenPGP 消息格式规范，明文签名消息可包含一个或多个可选 Hash Armour 标头。Hash Armor 标头指定了用于签名的消息摘要算法。但是，Go 明文签名程序包忽略了此标头的值，这使得攻击者能够对其进行伪造。因此，攻击者可导致受害者相信该签名是使用与实际使用的消息摘要算法不同的消息摘要算法生成的。此外，由于该库通常会跳过 Armor 标头解析，因此攻击者不仅可以嵌入任意 Armor 标头，还能够在不使签名失效的情况下，在明文消息前加上任意文本。(CVE-2019-11841)

  - 在 v0.0.0-20200220183623-bac4c82f6975 之前的 Go 中，golang.org/x/crypto 使 golang.org/x/crypto/ssh 程序包签名验证期间可以发生错误。客户端可攻击接受公钥的 SSH 服务器。此外，服务器还可攻击任何 SSH 客户端。(CVE-2020-9283)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 0079 公告提及的多个漏洞的影响。

  - golang.org/x/crypto: 32 位计数器溢出时，amd64 组件中出现 Keystream 循环 (CVE-2019-11840)

  - python-urllib3: 通过 HTTP 请求方法造成 CRLF 注入 (CVE-2020-26137)

  - kubernetes：使用 LoadBalancer 或 ExternalIPs 的 MITM (CVE-2020-8554)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

golang-go.crypto 最近更新了针对 CVE-2019-11840 的修复。
这反而会要求重新编译所有使用受影响代码的程序包，从而获取安全补丁。

CVE-2019-11840

在附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。

针对 Debian 9 stretch，此问题已在 3 0.0.7-1+deb8u1 版本中修复。

我们建议您升级 obfs4proxy 程序包。

如需了解 obfs4proxy 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/obfs4proxy

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

golang-go.crypto 最近更新了针对 CVE-2019-11840 的修复。
这反而会要求重新编译所有使用受影响代码的程序包，从而获取安全补丁。

CVE-2019-11840

在附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。

针对 Debian 9 stretch，此问题已在 1.35-1+deb8u1 版本中解决。

我们建议您升级 rclone 程序包。

如需了解 rclone 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/rclone

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

发现 salsa20 的 amd64 实现存在缺陷。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。对于 Debian 8“Jessie”，此问题已在 0.0~hg190-1+deb8u1 版本中修复。obfs4proxy 已重新构建为 0.0.3-2+deb8u1 版本。建议您升级 golang-golang-x-crypto-dev 和 obfs4proxy 程序包，并重新构建任意使用 golang-golang-x-crypto-dev 的软件。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

golang-go.crypto 最近更新了针对 CVE-2019-11840 的修复。
这反而会要求重新编译所有使用受影响代码的程序包，从而获取安全补丁。

CVE-2019-11840

在附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。

对于 Debian 9 stretch，已在版本 2.21-2+deb9u1 中修复此问题。

我们建议您升级 snapd 程序包。

如需了解 snapd 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/snapd

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

CVE-2019-11840

在附属 Go 密码库（又称 golang-googlecode-go-crypto）中发现问题。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。重复的密钥流字节可导致加密应用程序失去机密性，或导致 CSPRNG 应用程序失去可预测性。

CVE-2019-11841

在附属 Go 密码库的 crypto/openpgp/clearsign/clearsign.go 中发现消息伪造问题。“Hash” Armor 标头指定了用于签名的消息摘要算法。由于该库通常会跳过 Armor 标头解析，因此攻击者不仅可以嵌入任意 Armor 标头，还能够在不使签名失效的情况下，在明文消息前加上任意文本。

CVE-2020-9283

golang.org/x/crypto 使 golang.org/x/crypto/ssh 程序包签名验证期间可以发生错误。客户端可攻击接受公钥的 SSH 服务器。此外，服务器还可攻击任何 SSH 客户端。

针对 Debian 9 stretch，这些问题已在 1:0.0~git20170407.0.55a552f+REALLY.0.0~git20161012.0.5f31782-1+deb8u1 版本中修复。

我们建议您升级 golang-go.crypto 程序包。

如需了解 golang-go.crypto 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-go.crypto

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
177400	Debian DLA-3455-1：golang-go.crypto - LTS 安全更新	Nessus	Debian Local Security Checks	2023/6/16	2023/12/8	medium
145229	RHEL 7：OpenShift Container Platform 3.11.374 错误修复和 (RHSA-2021: 0079)	Nessus	Red Hat Local Security Checks	2021/1/20	2024/1/26	medium
142667	Debian DLA-2442-1：obfs4proxy 安全更新	Nessus	Debian Local Security Checks	2020/11/10	2020/11/20	medium
143099	Debian DLA-2454-1：rclone 安全更新	Nessus	Debian Local Security Checks	2020/11/19	2020/11/25	medium
126349	Debian DLA-1840-1：golang-go.crypto 安全更新	Nessus	Debian Local Security Checks	2019/7/1	2021/1/11	medium
145165	Debian DLA-2527-1：snapd 安全更新	Nessus	Debian Local Security Checks	2021/1/20	2024/1/29	medium
141271	Debian DLA-2402-1：golang-go.crypto 安全更新	Nessus	Debian Local Security Checks	2020/10/8	2023/12/21	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium