git-lfs-3.2.0-1.el9
エラータID: AXSA:2023-5844:01
以下項目について対処しました。
[Security Fix]
- go-toolset の net/http モジュールには、HTTP/1 クライアントとして
利用した場合に不正な Transfer-Encoding ヘッダを受信してしまう問題
があるため、リモートの攻撃者により、不正なヘッダの受信を拒否しない
中間サーバーを介して、HTTP スマグリング攻撃を可能とする脆弱性が
存在します。(CVE-2022-1705)
- go の net/http モジュールには、HTTP/2 接続のシャットダウン前に
致命的なエラーが発生した場合 HTTP/2 接続が無応答状態になる問題
があるため、リモートの攻撃者により、サービス拒否攻撃を可能とする
脆弱性が存在します。(CVE-2022-27664)
- golang には、リバースプロキシから転送されたクエリを含むリクエスト
の Go プロキシの処理に問題があるため、リモートの攻撃者により、
net/http モジュールによって拒否された解析不能なパラメーターを含む
リクエストを介して、HTTP リクエストスマグリング攻撃を可能とする
脆弱性が存在します。(CVE-2022-2880)
- io/fs モジュールの Glob 関数には、制限のない再帰実行によりスタック
が枯渇する問題があるため、リモートの攻撃者により、大量のパス
セパレータを含むパスを介して、パニックによるサービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-30630)
- path/filepath モジュールの Glob 関数には、制限のない再帰実行により
スタックが枯渇する問題があるため、リモートの攻撃者により、大量の
パスセパレータを含むパスを介して、パニックによるサービス拒否攻撃
を可能とする脆弱性が存在します。(CVE-2022-30632)
- encoding/gob モジュールの Decoder.Decode 関数には、制限のない
再帰実行によりスタックが枯渇する問題があるため、リモートの攻撃者
により、深くネストされた構造を持つメッセージを介して、パニックに
よるサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-30635)
- net/http モジュールには、リバースプロキシサーバーが X-Forwarded-For
ヘッダーにクライアント IP を設定してしまう問題があるため、
X-Forwarded-For ヘッダに nil 値を含む Request.Header マップを用いた
httputil.ReverseProxy.ServeHTTP 関数の呼び出しを介して、クライアント
の IP アドレスの不正な開示を可能とする脆弱性が存在します。
(CVE-2022-32148)
- go の math/big モジュールの Float 型および Rat 型をレシーバーとする
GobDecode 関数には、パニックの発生に至る問題があるため、リモート
の攻撃者により、短すぎる入力データを介して、サービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-32189)
- golang の regexp モジュールには、信頼できない情報元から入力された
正規表現をコンパイルする際に大量のメモリを消費してしまう問題がある
ため、リモートの攻撃者により、細工された正規表現の入力を介して、
メモリの枯渇とそれに起因するサービス拒否攻撃を可能とする脆弱性が
存在します。(CVE-2022-41715)
- golang の net/http ライブラリには、大量のメモリを消費してしまう問題
があるため、リモートの攻撃者により、細工した HTTP/2 リクエストの
送信を介して、サービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-41717)
パッケージをアップデートしてください。
Acceptance of some invalid Transfer-Encoding headers in the HTTP/1 client in net/http before Go 1.17.12 and Go 1.18.4 allows HTTP request smuggling if combined with an intermediate server that also improperly fails to reject the header as invalid.
In net/http in Go before 1.18.6 and 1.19.x before 1.19.1, attackers can cause a denial of service because an HTTP/2 connection can hang during closing if shutdown were preempted by a fatal error.
Requests forwarded by ReverseProxy include the raw query parameters from the inbound request, including unparseable parameters rejected by net/http. This could permit query parameter smuggling when a Go proxy forwards a parameter with an unparseable value. After fix, ReverseProxy sanitizes the query parameters in the forwarded query when the outbound request's Form field is set after the ReverseProxy. Director function returns, indicating that the proxy has parsed the query parameters. Proxies which do not parse query parameters continue to forward the original query parameters unchanged.
Uncontrolled recursion in Glob in io/fs before Go 1.17.12 and Go 1.18.4 allows an attacker to cause a panic due to stack exhaustion via a path which contains a large number of path separators.
Uncontrolled recursion in Glob in path/filepath before Go 1.17.12 and Go 1.18.4 allows an attacker to cause a panic due to stack exhaustion via a path containing a large number of path separators.
Uncontrolled recursion in Decoder.Decode in encoding/gob before Go 1.17.12 and Go 1.18.4 allows an attacker to cause a panic due to stack exhaustion via a message which contains deeply nested structures.
Improper exposure of client IP addresses in net/http before Go 1.17.12 and Go 1.18.4 can be triggered by calling httputil.ReverseProxy.ServeHTTP with a Request.Header map containing a nil value for the X-Forwarded-For header, which causes ReverseProxy to set the client IP as the value of the X-Forwarded-For header.
A too-short encoded message can cause a panic in Float.GobDecode and Rat GobDecode in math/big in Go before 1.17.13 and 1.18.5, potentially allowing a denial of service.
Programs which compile regular expressions from untrusted sources may be vulnerable to memory exhaustion or denial of service. The parsed regexp representation is linear in the size of the input, but in some cases the constant factor can be as high as 40,000, making relatively small regexps consume much larger amounts of memory. After fix, each regexp being parsed is limited to a 256 MB memory footprint. Regular expressions whose representation would use more space than that are rejected. Normal use of regular expressions is unaffected.
An attacker can cause excessive memory growth in a Go server accepting HTTP/2 requests. HTTP/2 server connections contain a cache of HTTP header keys sent by the client. While the total number of entries in this cache is capped, an attacker sending very large keys can cause the server to allocate approximately 64 MiB per open connection.
N/A
SRPMS
- git-lfs-3.2.0-1.el9.src.rpm
MD5: 039886cfe8c090c713e7abdfa490a524
SHA-256: 883883083d5b7d85fc8745fc3dcf05b0f8998c21bedb5da6fb40e7d408a85691
Size: 3.04 MB
Asianux Server 9 for x86_64
- git-lfs-3.2.0-1.el9.x86_64.rpm
MD5: 1878c7fc7b8a07eb9c60e743d5b740e4
SHA-256: f4239f2bd80b907c06086a51e4c717862ae00f30c4875e26c25f7960d0cadcca
Size: 3.95 MB
English