透過 C 編譯器選項進行「go get」期間發生任意程式碼執行：在組建期間，Go 的「go get」命令處理 gcc 和 clang 敏感選項的方式中發現一個任意命令執行缺陷。能夠主控惡意存放庫的遠端攻擊者可能會利用此缺陷，在用戶端造成任意命令執行。(CVE-2018-6574) 在使用 -insecure 命令列選項時，Go 1.9.4 中的「go get」實作未驗證匯入路徑 (get/vcs.go 僅檢查字串中的任何位置是否有「://」)，進而允許遠端攻擊者透過特製的網站執行任意 OS 命令。(CVE-2018-7187)

偵測

Amazon Linux AMI︰golang (ALAS-2018-975)

high Nessus Plugin ID 108600

找不到變更記錄