Insufficient sanitization of Host header in net/http

中 6.5CVE-2023-29406 · BIT-golang-2023-29406 · GO-2023-1878 · 11/07/2023 公開 · 17/06/2026 更新

要点

CVE-2023-29406 は stdlib, go (golang) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.5%（全脆弱性の 73.4% より高い）。
対処：1.20.6, 1.19.11 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
stdlib Go	`≥ 1.20.0-0, < 1.20.6< 1.19.11`	`1.20.61.19.11`
go golang	`≥ 1.20.0, < 1.20.6< 1.19.11`	`1.20.61.19.11`

概要

The HTTP/1 client does not fully validate the contents of the Host header. A maliciously crafted Host header can inject additional headers or entire requests.

With fix, the HTTP/1 client now refuses to send requests containing an invalid Request.Host or Request.URL.Host value.

NVD の説明

The HTTP/1 client does not fully validate the contents of the Host header. A maliciously crafted Host header can inject additional headers or entire requests. With fix, the HTTP/1 client now refuses to send requests containing an invalid Request.Host or Request.URL.Host value.

参考情報

go.dev/issue/60374 · REPORT
go.dev/cl/506996 · FIX
groups.google.com/g/golang-announce/c/2q13H6LEEx0 · WEB
pkg.go.dev/vuln/GO-2023-1878 · Vendor Advisory
security.gentoo.org/glsa/202311-09
security.netapp.com/advisory/ntap-20230814-0002

stdlib のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

stdlib

≥ 1.20.0-0, < 1.20.6< 1.19.11

1.20.61.19.11

golang

≥ 1.20.0, < 1.20.6< 1.19.11