Golang < 1.19.10 / 1.20.x < 1.20.5 複数の脆弱性

critical Nessus プラグイン ID 177342

Language:

概要

リモートの Windows ホストにインストールされているアプリケーションは、複数の脆弱性による影響を受けます。

説明

リモートホストにインストールされている Golang Go のバージョンは、以下のような複数の脆弱性の影響を受けています。

- cgo の使用時に go コマンドがビルド時に予期しないコードを生成する可能性があります。これにより、cgo を使用する go プログラムの実行時に予期しない動作が発生する可能性があります。これは名前に改行文字があるディレクトリを含む信頼できないモジュールを実行しているときに発生する可能性があります。go コマンドを使用して、つまり「go get」を介して取得したモジュールは影響を受けません (GOPATH モードを使用して取得したモジュール、つまり GO111MODULE = off が影響を受ける可能性があります)。(CVE-2023-29402)

go コマンドは、cgo を使用中の場合、ビルドタイムに任意のコードを実行する可能性があります。これは悪意のあるモジュールで「go get」を実行している、あるいは信頼できないコードをビルドする他のコマンドを実行しているときに発生する可能性があります。これは、「＃cgo LDFLAGS」ディレクティブで指定されたリンカーフラグにより発生する可能性があります。オプションではない多数のフラグの引数がオプションであると誤って見なされ、LDFLAGS サニタイズを通じて許可されていないフラグのスマグリングが可能になります。これは gc コンパイラと gccgo コンパイラの両方の使用に影響します。(CVE-2023-29404)

go コマンドは、cgo を使用中の場合、ビルドタイムに任意のコードを実行する可能性があります。これは悪意のあるモジュールで「go get」を実行している、あるいは信頼できないコードをビルドする他のコマンドを実行しているときに発生する可能性があります。これは、「＃cgo LDFLAGS」ディレクティブで指定されたリンカーフラグにより発生する可能性があります。埋め込まれたスペースを含むフラグが不適切に処理されるため、別のフラグの引数に含めることで、許可されていないフラグを LDFLAGS サニタイズを通してスマグリングすることが可能です。これは gccgo コンパイラの使用にのみ影響します。(CVE-2023-29405) Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。