CVE-2017-15042
Açıklama
Go 1.8.4 ve 1.9.1 öncesindeki 1.9.x sürümlerinden önce, istenmeyen bir açık metin sorunu mevcuttur. RFC 4954, SMTP sırasında PLAIN kimlik doğrulama şemasının yalnızca TLS ile güvenliği sağlanmış ağ bağlantılarında kullanılması gerektiğini belirtir. Go 1.0'daki smtp.PlainAuth'un orijinal uygulaması bu gereksinimi zorunlu kılıyordu ve bunun böyle olduğu belgelenmişti. 2013 yılında, üst akış sorun #5184 ile bu durum, PLAIN'in kabul edilebilir olup olmadığına sunucunun karar verebileceği şekilde değiştirildi. Bunun sonucunda, STARTTLS reklamı yapmayan ancak PLAIN kimlik doğrulamanın uygun olduğunu belirten bir ortadaki adam (man-in-the-middle) SMTP sunucusu kurulursa, smtp.PlainAuth uygulaması kullanıcı adını ve parolayı gönderir.
Nasıl düzeltilir
- stdlib1.8.4, 1.9.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| golang go | v ≤ 1.8.3, 1.9 | — |
| stdlibGo | 1.1.0-0 ≤ v < 1.8.4, 1.9.0-0 ≤ v < 1.9.1 | 1.8.4, 1.9.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.