要点
- CVE-2016-5386 は stdlib, go (golang) に影響する深刻度「高」 (CVSS 8.1) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：5.2%（全脆弱性の 92.5% より高い）。
- 対処：1.6.3 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| stdlib Go | < 1.6.3
| 1.6.3
|
| go | = 1.7≥ 1.0, < 1.6.3
| 1.6.3
|
概要
An input validation flaw in the CGI components allows the HTTP_PROXY environment variable to be set by the incoming Proxy header, which changes where Go by default proxies all outbound HTTP requests.
This environment variable is also used to set the outgoing proxy, enabling an attacker to insert a proxy into outgoing requests of a CGI program.
Read more about "httpoxy" here: https://httpoxy.org.
NVD の説明
The net/http package in Go through 1.6 does not attempt to address RFC 3875 section 4.1.18 namespace conflicts and therefore does not protect CGI applications from the presence of untrusted client data in the HTTP_PROXY environment variable, which might allow remote attackers to redirect a CGI application's outbound HTTP traffic to an arbitrary proxy server via a crafted Proxy header in an HTTP request, aka an "httpoxy" issue.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン