摘要:
golang security update
安全等级: Medium
公告ID: KylinSec-SA-2025-2438
发布日期: 2025年6月3日
1.HTTP分块传输扩展漏洞（CVE-2023-39326）：
恶意HTTP发送方可通过分块扩展（chunk extensions）机制，诱使接收方从请求或响应体中读取远超实际内容长度的网络字节。当服务器处理器未能完整读取请求体时，恶意客户端可进一步利用此漏洞迫使服务器自动读取大量数据（最高约1GiB）。分块扩展是HTTP中较少使用的特性，允许在使用分块编码传输时附加元数据。标准库net/http的分块编码读取器会丢弃这些元数据，攻击者可通过在每个传输字节中插入大段元数据进行利用。现版本已修复此问题，当实际内容与编码字节比例过低时将返回错误。
2.跨域重定向敏感头信息泄露（CVE-2024-45336）：
HTTP客户端在跨域重定向后会丢弃敏感头信息（如Authorization头），但若后续出现同域重定向则会错误恢复。例如：请求 a.com/ 携带授权头并重定向至 b.com/1 时丢弃该头，继续重定向至b.com/2时却会错误携带原始授权头。此漏洞可能导致敏感凭证被发送至非预期域名。
3.URI约束校验绕过漏洞（CVE-2024-45341）：
当证书包含带区域ID的IPv6地址URI时，可能错误满足证书链的URI名称约束条件。需注意Web PKI体系禁止使用含URI的证书，此漏洞仅影响使用私有PKI且配置了URI约束的场景。
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2024-45336 | V6 | golang | Fixed |
| CVE-2023-39326 | V6 | golang | Fixed |
| CVE-2024-45341 | V6 | golang | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| golang-devel | noarch | 1.21.4-31.ks6 |
| golang-help | noarch | 1.21.4-31.ks6 |
| golang | x86_64 | 1.21.4-31.ks6 |
| golang | aarch64 | 1.21.4-31.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
