CVE-2026-42501
WysokieStreszczenie
Złośliwy moduł proxy może wykorzystać lukę w walidacji sum kontrolnych polecenia go, aby obejść walidację bazy danych sum kontrolnych. Dotyczy to użytkowników korzystających z nieufnych modułów proxy lub baz danych sum kontrolnych.
Ocena ryzyka
Luka ta może prowadzić do pobierania i wykonywania zmodyfikowanych wersji narzędzi Go, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i systemów korzystających z tego narzędzia.
Rekomendacja
Zaleca się aktualizację podstawowego narzędzia Go oraz unikanie korzystania z nieufnych modułów proxy i baz danych sum kontrolnych.
Inne podatności w Go toolchain
Zobacz wszystkie- CVE-2026-94447Wysokie
Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy wpis golang.org/toolchain w go.sum i korzysta ze złośliwego GOMODPROXY, mógł obejść zamierzoną sumę kontrolną. Teraz zapewniono, że golang.org/toolchain zawsze pobiera kanoniczną sumę kontrolną z sieci.
- CVE-2026-94444Wysokie
Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy golang.org/fips140 i korzysta ze złośliwego GOMODPROXY, mógł otrzymać dowolny moduł w jego miejsce. Teraz rozpakowywany jest zaufany ziphash dla dołączonego modułu golang.org/fips140 i tworzony jest jego wpis w GOMODCACHE, aby mógł być zweryfikowany przez łańcuch narzędzi.
Oryginalny opis (angielski, źródło NVD)
A malicious module proxy can exploit a flaw in the go command's validation of module checksums to bypass checksum database validation. This vulnerability affects any user using an untrusted module proxy (GOMODPROXY) or checksum database (GOSUMDB). A malicious module proxy can serve altered versions of the Go toolchain. When selecting a different version of the Go toolchain than the currently installed toolchain (due to the GOTOOLCHAIN environment variable, or a go.work or go.mod with a toolchain line), the go command will download and execute a toolchain provided by the module proxy. A malicious module proxy can bypass checksum database validation for this downloaded toolchain. Since this vulnerability affects the security of toolchain downloads, setting GOTOOLCHAIN to a fixed version is not sufficient. You must upgrade your base Go toolchain. The go tool always validates the hash of a toolchain before executing it, so fixed versions will refuse to execute any cached, altered versions
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS