PT-2021-17668 · Google+6 · Go+6

Sam Whited

·

Publicado

2021-02-19

·

Atualizado

2024-06-15

·

CVE-2021-27918

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
**Nome do software vulnerável e versões afetadas:
Versões do Go anteriores à 1.15.9
Versões do Go 1.16.x anteriores à 1.16.1
Descrição:
O problema ocorre quando um TokenReader personalizado para xml.NewTokenDecoder retorna EOF no meio de um elemento, podendo causar um loop infinito nos métodos Decode, DecodeElement ou Skip de um xml.Decoder. Isso pode ocorrer ao operar em um xml.TokenReader personalizado.
Recomendações:
Para versões do Go anteriores à 1.15.9, atualize para a versão 1.15.9 ou posterior para resolver o problema.
Para versões do Go 1.16.x anteriores à 1.16.1, atualize para a versão 1.16.1 ou posterior para resolver o problema.
Como solução temporária, considere restringir o uso de TokenReaders personalizados que possam retornar EOF no meio de um elemento até que um patch seja aplicado.

Exploit

Correção

Infinite Loop

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALT-PU-2021-1376
ALT-PU-2021-1470
ALT-PU-2021-1482
ALT-PU-2021-1941
AZL-79104
BIT-GOLANG-2021-27918
CESA-2021_3076
CVE-2021-27918
GO-2021-0234
MGASA-2021-0369
OESA-2021-1184
OPENSUSE-SU-2021:0480-1
OPENSUSE-SU-2021_0480-1
OPENSUSE-SU-2024:10808-1
OPENSUSE-SU-2024:10809-1
RHSA-2021:2704
RHSA-2021:3076
RHSA-2021:3555
RHSA-2021_3076
RLSA-2021:3076
SUSE-SU-2021:0937-1
SUSE-SU-2021:0938-1
SUSE-SU-2021_0937-1
SUSE-SU-2021_0938-1

Produtos afetados

Alt Linux
Astra Linux
Centos
Go
Red Hat
Rocky Linux
Suse