Раскрытие информации

Средняя (4.3)

(AV:N/AC:M/Au:N/C:P/I:N/A:N)

Go

Go (1.1, 1.8.4, 1.9, 1.9.1)

Уязвимость в Go связана с непреднамеренным использованием незашифрованных данных. Согласно RFC 4954 (при использовании SMTP) схема аутентификации PLAIN должна применяться только для сетевых подключений, защищенных с помощью TLS. Оригинальная реализация smtp.PlainAuth в Go придерживалась данного требования, однако в 2013 году ситуация изменилась, и сервер получил возможность решать вопрос приемлемости PLAIN. В результате получилось, что при использовании SMTP-сервера, действующего по принципу "человек посередине" и не объявляющего STARTTLS и приемлемость PLAIN auth, реализация smtp.PlainAuth отправляет имя и пароль пользователя.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://go.dev/

Источник: CVE
Наименование: CVE-2017-15042
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-15042