This update for go1.12 fixes the following issues :

Security issues fixed :

  - CVE-2019-9512: Fixed HTTP/2 flood using PING frames that     results in unbounded memory growth (bsc#1146111).

  - CVE-2019-9514: Fixed HTTP/2 implementation that is     vulnerable to a reset flood, potentially leading to a     denial of service (bsc#1146115).

  - CVE-2019-14809: Fixed malformed hosts in URLs that leads     to authorization bypass (bsc#1146123).

Bugfixes :

  - Update to go version 1.12.9 (bsc#1141689).

  - Adding Web Assembly stuff from misc/wasm (bsc#1139210).

This update was imported from the SUSE:SLE-15:Update update project.

According to the versions of the golang packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - Some HTTP/2 implementations are vulnerable to ping     floods, potentially leading to a denial of service. The     attacker sends continual pings to an HTTP/2 peer,     causing the peer to build an internal queue of     responses. Depending on how efficiently this data is     queued, this can consume excess CPU, memory, or     both.(CVE-2019-9512)

  - Some HTTP/2 implementations are vulnerable to a reset     flood, potentially leading to a denial of service. The     attacker opens a number of streams and sends an invalid     request over each stream that should solicit a stream     of RST_STREAM frames from the peer. Depending on how     the peer queues the RST_STREAM frames, this can consume     excess memory, CPU, or both.(CVE-2019-9514)

  - net/url in Go before 1.11.13 and 1.12.x before 1.12.8     mishandles malformed hosts in URLs, leading to an     authorization bypass in some applications. This is     related to a Host field with a suffix appearing in     neither Hostname() nor Port(), and is related to a     non-numeric port number. For example, an attacker can     compose a crafted javascript:// URL that results in a     hostname of google.com.(CVE-2019-14809)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートの Oracle Linux 8 ホストに、ELSA-2019-3433 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 1.11.13 および 1.12.8 以前の 1.12.x より前の Go の net/url は、URL の不正なホストを誤って処理し、一部のアプリケーションで認証バイパスを引き起こします。これは、Hostname() と Port() のどちらにも表示されない接尾辞を持つ Host フィールドに関連しており、数値以外のポート番号に関連しています。たとえば、攻撃者はホスト名が google.com となる細工された javascript: // URL を作成する可能性があります。(CVE-2019-14809)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2019: 3433のアドバイザリ。

  - golang: 認可バイパスへのURLリードにおける不正なホスト（CVE-2019-14809）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

go1.12用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9512：無制限のメモリ増加につながるPINGフレームを使用したHTTP/2フラッドを修正します（bsc#1146111）。

CVE-2019-9514：サービス拒否につながる可能性のある、HTTP/2実装がリセットフラッドに対して脆弱である問題を修正しました（bsc#1146115）。

CVE-2019-14809：認可バイパスを引き起こすURLにおける不正なホストを修正しました（bsc#1146123）。

バグ修正：goバージョン1.12.9への更新（bsc#1141689）。

misc/wasmからのWebアセンブリスタッフの追加（bsc#1139210）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

go1.12用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-9512：無制限のメモリ増加につながるPINGフレームを使用したHTTP/2フラッドを修正します（bsc#1146111）。

  - CVE-2019-9514：サービス拒否につながる可能性のある、HTTP/2実装がリセットフラッドに対して脆弱である問題を修正しました（bsc#1146115）。

  - CVE-2019-14809：認可バイパスを引き起こすURLにおける不正なホストを修正しました（bsc#1146123）。

バグ修正：

  - goバージョン1.12.9への更新（bsc#1141689）。

  - misc/wasmからのWebアセンブリスタッフの追加（bsc#1139210）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

go1.12用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-9512：無制限のメモリ増加につながるPINGフレームを使用したHTTP/2フラッドを修正します（bsc#1146111）。

  - CVE-2019-9514：サービス拒否につながる可能性のある、HTTP/2実装がリセットフラッドに対して脆弱である問題を修正しました（bsc#1146115）。

  - CVE-2019-14809：認可バイパスを引き起こすURLにおける不正なホストを修正しました（bsc#1146123）

バグ修正：

  - goバージョン1.12.9への更新（bsc#1141689）。

  - misc/wasmからのWebアセンブリスタッフの追加（bsc#1139210）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

ID	Name	Product	Family	Published	Updated	Severity
128605	openSUSE Security Update : go1.12 (openSUSE-2019-2085) (Ping Flood) (Reset Flood)	Nessus	SuSE Local Security Checks	9/9/2019	4/26/2024	critical
128863	openSUSE Security Update : go1.12 (openSUSE-2019-2130) (Ping Flood) (Reset Flood)	Nessus	SuSE Local Security Checks	9/16/2019	4/25/2024	critical
129437	EulerOS 2.0 SP8 : golang (EulerOS-SA-2019-2078)	Nessus	Huawei Local Security Checks	9/30/2019	4/22/2024	critical
180794	Oracle Linux 8: go-toolset: ol8 (ELSA-2019-3433)	Nessus	Oracle Linux Local Security Checks	9/7/2023	11/1/2024	critical
145646	CentOS 8：go-toolset: rhel8（CESA-2019：3433）	Nessus	CentOS Local Security Checks	1/29/2021	1/25/2024	critical
128147	SUSE SLED15 / SLES15セキュリティ更新プログラム：go1.12（SUSE-SU-2019:2214-1）（Pingフラッド）（リセットフラッド）	Nessus	SuSE Local Security Checks	8/26/2019	5/1/2024	critical
128605	openSUSEセキュリティ更新プログラム：go1.12（openSUSE-2019-2085）（Pingフラッド）（リセットフラッド）	Nessus	SuSE Local Security Checks	9/9/2019	4/26/2024	critical
128863	openSUSEセキュリティ更新プログラム：go1.12（openSUSE-2019-2130）（Pingフラッド）（リセットフラッド）	Nessus	SuSE Local Security Checks	9/16/2019	4/25/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical