Tóm tắt nhanh
- CVE-2017-15042 là lỗ hổng mức TRUNG BÌNH (CVSS 5.9) ảnh hưởng stdlib, go (golang).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.3%, cao hơn 70.1% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 1.8.4, 1.9.1 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| stdlib Go | ≥ 1.1.0-0, < 1.8.4≥ 1.9.0-0, < 1.9.1
| 1.8.41.9.1
|
| go | = 1.9≤ 1.8.3
| Chưa có bản vá |
Mô tả
SMTP clients using net/smtp can use the PLAIN authentication scheme on network connections not secured with TLS, exposing passwords to man-in-the-middle SMTP servers.
Mô tả của NVD
An unintended cleartext issue exists in Go before 1.8.4 and 1.9.x before 1.9.1. RFC 4954 requires that, during SMTP, the PLAIN auth scheme must only be used on network connections secured with TLS. The original implementation of smtp.PlainAuth in Go 1.0 enforced this requirement, and it was documented to do so. In 2013, upstream issue #5184, this was changed so that the server may decide whether PLAIN is acceptable. The result is that if you set up a man-in-the-middle SMTP server that doesn't advertise STARTTLS and does advertise that PLAIN auth is OK, the smtp.PlainAuth implementation sends the username and password.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí