PT-2021-8362 · Google · Golang

Ludwig Nussel · Publicado 2021-07-09 · Atualizado 2021-10-18 · CVE-2012-2666

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do golang/go anteriores à 1.0.2

Descrição

O problema decorre da função dotest() em src/pkg/debug/gosym/pclntab test.go, que cria um arquivo temporário com um nome previsível e o executa como um script de shell. Esse comportamento representa um risco, especialmente em máquinas compartilhadas.

Recomendações

Para versões anteriores à 1.0.2, atualize para a versão 1.0.2 para resolver o problema. Como solução temporária, considere restringir o acesso à função dotest() em src/pkg/debug/gosym/pclntab test.go até que a atualização seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-377

Identificadores relacionados

CVE-2012-2666

Produtos afetados

Golang

Referências · 7

• 🔥 https://codereview.appspot.com/5992078 · Exploit
• https://github.com/golang/go/commit/8ac275bb01588a8c0e6c0fe2de7fd11f08feccdd · Correção
• https://whitesourcesoftware.com/vulnerability-database/CVE-2012-2666 · Nota
• https://bugzilla.suse.com/show_bug.cgi?id=765455 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2012-2666 · Nota de Segurança
• https://security.netapp.com/advisory/ntap-20210902-0009 · Nota
• https://t.me/cvenotify/20551 · Publicação no Telegram