PT-2020-16998 · Google+4 · Go+4
Chris Brown
·
Publicado
2020-11-16
·
Atualizado
2024-06-15
·
CVE-2020-28366
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Go anteriores à 1.14.12
Versões do Go 1.15.x anteriores à 1.15.5
Descrição
A vulnerabilidade permite a injeção de código no comando
go quando o cgo é utilizado, podendo levar à execução de código arbitrário durante a compilação. Isso pode ocorrer por meio de um nome de símbolo malicioso sem aspas em um arquivo objeto vinculado, como ao executar go get em um pacote malicioso ou qualquer outro comando que compile código não confiável.Recomendações
Para versões do Go anteriores à 1.14.12, atualize para a versão 1.14.12 ou posterior.
Para versões do Go 1.15.x anteriores à 1.15.5, atualize para a versão 1.15.5 ou posterior.
Como solução temporária, considere evitar o uso do cgo com código não confiável até que um patch seja aplicado.
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Centos
Go
Red Hat
Suse