要点
- CVE-2017-15042 は stdlib, go (golang) に影響する深刻度「中」 (CVSS 5.9) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：1.3%（全脆弱性の 70.1% より高い）。
- 対処：1.8.4, 1.9.1 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| stdlib Go | ≥ 1.1.0-0, < 1.8.4≥ 1.9.0-0, < 1.9.1
| 1.8.41.9.1
|
| go | = 1.9≤ 1.8.3
| 修正版なし |
概要
SMTP clients using net/smtp can use the PLAIN authentication scheme on network connections not secured with TLS, exposing passwords to man-in-the-middle SMTP servers.
NVD の説明
An unintended cleartext issue exists in Go before 1.8.4 and 1.9.x before 1.9.1. RFC 4954 requires that, during SMTP, the PLAIN auth scheme must only be used on network connections secured with TLS. The original implementation of smtp.PlainAuth in Go 1.0 enforced this requirement, and it was documented to do so. In 2013, upstream issue #5184, this was changed so that the server may decide whether PLAIN is acceptable. The result is that if you set up a man-in-the-middle SMTP server that doesn't advertise STARTTLS and does advertise that PLAIN auth is OK, the smtp.PlainAuth implementation sends the username and password.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン