PT-2022-6167 · Go+3 · Go+3
Ryotak
·
Publicado
2022-10-18
·
Atualizado
2024-10-30
·
CVE-2022-41716
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões do Go anteriores à versão corrigida
Descrição
O problema está relacionado a valores NUL não sanitizados em variáveis de ambiente no Windows. Os invasores podem explorar essa falha para definir variáveis de ambiente arbitrárias. Em
syscall.StartProcess e os/exec.Cmd, valores inválidos de variáveis de ambiente que contêm caracteres NUL não são verificados adequadamente. Um valor malicioso de variável de ambiente, como a string “A=Bx00C=D”, pode definir as variáveis “A=B” e “C=D”. Isso pode ser feito explorando a falta de verificação adequada de valores inválidos de variáveis de ambiente.Recomendações
Para versões do Go anteriores à versão corrigida, atualize para uma versão que inclua a correção para os valores NUL não sanitizados nas variáveis de ambiente.
Como solução temporária, considere desativar o uso de
syscall.StartProcess e os/exec.Cmd até que um patch esteja disponível.Restrinja o acesso às variáveis de ambiente para minimizar o risco de exploração.
Evite usar valores de variáveis de ambiente que contenham valores NUL nos pontos de extremidade da API afetados até que o problema seja resolvido.
Correção
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Go
Suse