Address CVEs in go-lang binaries

[fmulero]

There are several CVEs related to golang.org/x/net, all of them fixed in recent versions:

┌──────────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│     Library      │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │                            Title                             │
├──────────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/net │ CVE-2023-39325 │ HIGH     │ fixed  │ v0.10.0           │ 0.17.0        │ rapid stream resets can cause excessive work                 │
│                  │                │          │        │                   │               │ (CVE-2023-44487)                                             │
│                  │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-39325                   │
│                  ├────────────────┼──────────┤        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-3978  │ MEDIUM   │        │                   │ 0.13.0        │ Cross site scripting                                         │
│                  │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-3978                    │
│                  ├────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-44487 │          │        │                   │ 0.17.0        │ Multiple HTTP/2 enabled web servers are vulnerable to a DDoS │
│                  │                │          │        │                   │               │ attack (Rapid...                                             │
│                  │                │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-44487                   │
└──────────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

[aniketasalkar]

We are also facing this. Any update on this.

[fmulero]

Hi I've just revisit this issue and there is a new CVE affecting dependencies:

┌─────────────────────┬────────────────┬──────────┬────────┬────────────────────────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │         Installed Version          │ Fixed Version │                            Title                             │
├─────────────────────┼────────────────┼──────────┼────────┼────────────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2023-48795 │ MEDIUM   │ fixed  │ v0.0.0-20220722155217-630584e8d5aa │ 0.17.0        │ ssh: Prefix truncation attack on Binary Packet Protocol      │
│                     │                │          │        │                                    │               │ (BPP)                                                        │
│                     │                │          │        │                                    │               │ https://avd.aquasec.com/nvd/cve-2023-48795                   │
├─────────────────────┼────────────────┼──────────┤        ├────────────────────────────────────┤               ├──────────────────────────────────────────────────────────────┤
│ golang.org/x/net    │ CVE-2023-39325 │ HIGH     │        │ v0.10.0                            │               │ golang: net/http, x/net/http2: rapid stream resets can cause │
│                     │                │          │        │                                    │               │ excessive work (CVE-2023-44487)                              │
│                     │                │          │        │                                    │               │ https://avd.aquasec.com/nvd/cve-2023-39325                   │
│                     ├────────────────┼──────────┤        │                                    ├───────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-3978  │ MEDIUM   │        │                                    │ 0.13.0        │ golang.org/x/net/html: Cross site scripting                  │
│                     │                │          │        │                                    │               │ https://avd.aquasec.com/nvd/cve-2023-3978                    │
│                     ├────────────────┤          │        │                                    ├───────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-44487 │          │        │                                    │ 0.17.0        │ HTTP/2: Multiple HTTP/2 enabled web servers are vulnerable   │
│                     │                │          │        │                                    │               │ to a DDoS attack...                                          │
│                     │                │          │        │                                    │               │ https://avd.aquasec.com/nvd/cve-2023-44487                   │
└─────────────────────┴────────────────┴──────────┴────────┴────────────────────────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

Is there any plan to update these dependencies?