NVD

Id
20656  
Name
CVE-2016-5386  
Description
The net/http package in Go through 1.6 does not attempt to address RFC 3875 section 4.1.18 namespace conflicts and therefore does not protect CGI applications from the presence of untrusted client data in the HTTP_PROXY environment variable, which might allow remote attackers to redirect a CGI application"s outbound HTTP traffic to an arbitrary proxy server via a crafted Proxy header in an HTTP request, aka an "httpoxy" issue.  
Reject
 
CVSS Version
2  
CVSS Score
6.8  
Severity
Medium  
CVSS Base Score
6.8  
CVSS Impact Subscore
6.4  
CVSS Exploit Subscore
8.6  
CVSS Vector
(AV:N/AC:M/Au:N/C:P/I:P/A:P)  
Pub Date
2017-01-19  
Published
2016-07-18  
Modified Date
2016-09-28  
Seq
2016-5386  

Actions

Related NVD References

Id NVD Id NVD No. Reference Actions
113053 20656 CVE-2016-5386 RHSA-2016:1538  View
113054 20656 CVE-2016-5386 VU#797896  View
113055 20656 CVE-2016-5386 http://www.oracle.com/technetwork/topics/security/linuxbulletinjul2016-3090544.html  View
113056 20656 CVE-2016-5386 https://bugzilla.redhat.com/show_bug.cgi?id=1353798  View
113057 20656 CVE-2016-5386 https://httpoxy.org/  View
113058 20656 CVE-2016-5386 FEDORA-2016-340e361b90  View
113059 20656 CVE-2016-5386 FEDORA-2016-ea5e284d34  View

Related JVN

Id Name Title Summary Cveinfo Name Cveinfo Id Nvdinfo Name Nvdinfo Id Cvssv2 Cvssv3 Jvnurl Published Date Last Updated Date Actions
3028 JVNDB-2016-003801 Go の net/http パッケージにおける任意のプロキシサーバに CGI アプリケーションのアウトバウンド HTTP トラフィックをリダイレクトされる脆弱性 Go の net/http パッケージは、RFC 3875 セクション 4.1.18 の名前空間のコンフリクト対処を試みず、その結果、 HTTP_PROXY 環境変数の信頼できないクライアントデータの存在から CGI アプリケーションを保護しないため、任意のプロキシサーバに CGI アプリケーションのアウトバウンド HTTP トラフィックをリダイレクトされる脆弱性が存在します。 CVE-2016-5386 91892 CVE-2016-5386 20656 5.1 8.1 http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-003801.html 2016-07-18 2016-11-09 View