PT-2022-21118 · Go+9 · Go+9
Christian Mehlmauer
·
Publicado
2022-07-12
·
Atualizado
2026-03-06
·
CVE-2022-32148
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Go anteriores à 1.17.12
Versões do Go anteriores à 1.18.4
Descrição
O problema está relacionado à exposição indevida de endereços IP de clientes. Isso pode ocorrer ao chamar
httputil.ReverseProxy.ServeHTTP com um objeto Request. Header contendo um valor nulo para o cabeçalho X-Forwarded-For. Como resultado, o ReverseProxy define o IP do cliente como o valor do cabeçalho X-Forwarded-For, contrariando sua documentação.Recomendações
Para versões do Go anteriores à 1.17.12, atualize para o Go 1.17.12 ou posterior para resolver o problema.
Para versões do Go anteriores à 1.18.4, atualize para o Go 1.18.4 ou posterior para resolver o problema.
Como solução alternativa temporária, considere evitar o uso de um valor nulo para o cabeçalho
X-Forwarded-For no mapa Request.Header ao chamar httputil.ReverseProxy.ServeHTTP.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Debian
Go
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu