Golang < 1.19.10 / 1.20.x < 1.20.5 多個弱點

critical Nessus Plugin ID 177342

語系：

概要

遠端 Windows 主機上安裝的應用程式受到多個弱點影響。

說明

遠端主機上安裝的 Golang Go 版本受到以下多個弱點影響：

- 使用 cgo 時，go 命令可能會在構建時產生未預期的程式碼。這可能會在執行使用 cgo 的 go 程式時導致非預期行為。執行名稱中含有新行字元的未受信任模組時，可能會發生此情況。使用 go 命令 (即透過「go get」) 擷取的模組不受影響 (使用 GOPATH 模式擷取的模組，即 GO111MODULE=off)。(CVE-2023-29402)

- 使用 cgo 時，go 命令可能會在構建時執行任意程式碼。在惡意模組上執行「go get」時，或執行構建未受信任程式碼的任何其他命令時，可能會發生這種情況。這可以由透過「#cgo LDFLAGS」指示詞指定的連結器旗標觸發。許多非選用的旗標引數被錯誤地視為選用，進而允許透過 LDFLAGS 清理來走私不允許的旗標。這會影響 gc 和 gccgo 編譯器的使用。(CVE-2023-29404)

- 使用 cgo 時，go 命令可能會在構建時執行任意程式碼。在惡意模組上執行「go get」時，或執行構建未受信任程式碼的任何其他命令時，可能會發生這種情況。這可以由透過「#cgo LDFLAGS」指示詞指定的連結器旗標觸發。未正確處理包含內嵌空格的旗標，進而允許透過 LDFLAGS 清理將不允許的旗標包含在另一個旗標的引數中。此問題僅影響 gccgo 編譯器的使用。(CVE-2023-29405) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。