Podatności Go

W języku Go akcje wstawiające adresy URL do atrybutu content znacznika meta HTML nie są escapowane. Może to umożliwić atak XSS, jeśli znacznik meta ma atrybut http-equiv o wartości "refresh". Dodano ustawienie GODEBUG htmlmetacontenturlescape do wyłączania escapowania.

Na platformach Unix, podczas listowania zawartości katalogu za pomocą File.ReadDir lub File.Readdir, zwrócony FileInfo może odnosić się do pliku spoza Root, w którym otwarto plik. Wpływ tego wyjścia jest ograniczony do odczytu metadanych dostarczanych przez lstat z dowolnych lokalizacji w systemie plików, bez pozwolenia na odczyt lub zapis plików poza root.

Podczas parsowania formularza multipart w Go, limity całkowitego rozmiaru formularza nie były stosowane do pamięci zużywanej podczas odczytu pojedynczej linii. Umożliwia to atakującemu wysłanie złośliwego żądania, które może spowodować nadmierne zużycie pamięci.

Podatność w implementacji HTTP/2 w Go pozwala złośliwemu klientowi na szybkie tworzenie i resetowanie żądań, co prowadzi do nadmiernego zużycia zasobów serwera. Mimo ograniczenia liczby równoczesnych strumieni przez MaxConcurrentStreams, resetowanie żądań umożliwia atakującemu ciągłe wysyłanie nowych żądań.

Pakiet filepath w Go nie rozpoznaje ścieżek z prefiksem \??\ jako specjalnych. W systemie Windows ścieżka zaczynająca się od \??\ jest równoważna ścieżce zaczynającej się od \\?\ i może być używana do dostępu do dowolnych lokalizacji w systemie.

Klient HTTP/1 w języku Go nie w pełni weryfikuje zawartość nagłówka Host. Złośliwie spreparowany nagłówek Host może umożliwić wstrzyknięcie dodatkowych nagłówków lub całych żądań. Poprawka uniemożliwia wysyłanie żądań z nieprawidłową wartością Request.Host lub Request.URL.Host.

Podatność w standardowym parserze języka Go powoduje panikę przy przetwarzaniu kodu źródłowego z głęboko zagnieżdżonymi literałami. Problem wynika z wyczerpania stosu podczas rekurencyjnego parsowania.

Klient HTTP w Go usuwa wrażliwe nagłówki (np. Authorization) po przekierowaniu między domenami, ale może je ponownie wysłać przy kolejnym przekierowaniu w obrębie tej samej domeny, co stanowi potencjalne ryzyko wycieku danych.

Podatność w pakiecie os standardowej biblioteki Go umożliwia nieprawidłowy dostęp do katalogu nadrzędnego os.Root poprzez otwarcie nazwy pliku kończącej się na "../". Na przykład wywołanie Root.Open("../") otwiera katalog nadrzędny, co stanowi naruszenie ograniczeń dostępu.

Podatność w implementacji funkcji os.OpenFile w języku Go powoduje różne zachowanie na systemach Unix i Windows, gdy ścieżka docelowa jest wiszącym dowiązaniem symbolicznym. Na Unixie flaga O_EXCL zapobiega podążaniu za dowiązaniami, podczas gdy na Windowsie funkcja może podążać za dowiązaniem do nieistniejącej lokalizacji.

Podatność w funkcji LookPath powoduje, że gdy zmienna środowiskowa PATH zawiera ścieżki do plików wykonywalnych (a nie tylko katalogów), przekazanie określonych ciągów znaków („”, „.”, „..”) może skutkować nieoczekiwanym zwróceniem plików binarnych wymienionych w PATH.

Złośliwy GOPROXY mógł wcześniej sfałszować do dwóch kafelków sumdb, co pozwalało na obejście kontroli GOSUMDB dla żądanego modułu i utrwalenie treści modułu kontrolowanej przez atakującego w lokalnym cache modułów Go. Atak umożliwia złośliwemu GOPROXY serwowanie złośliwej treści modułu, która nie może być wykryta przez ocenę dziennika przejrzystości. Wszystkie kafelki są teraz poprawnie weryfikowane względem ich rodziców. Aby sprawdzić, czy zostałeś dotknięty: rm -r go.sum go.work.sum vendor/ && go mod tidy

Złośliwy GOSUMDB mógł serwować dowolną treść modułu nie zawartą w dzienniku przejrzystości. Ten atak pozwala skoordynowanemu GOPROXY i GOSUMDB na serwowanie klientowi złośliwej treści modułu, która nie może być wykryta przez ocenę dziennika przejrzystości. Aby sprawdzić, czy zostałeś dotknięty: rm -r go.sum go.work.sum vendor/ && go mod tidy

Komunikaty uzgadniania, takie jak KeyUpdate, są zawsze uważane za postępujące w stanie, niezależnie od tego, czy uzgadnianie zostało zakończone, czy nie. W rezultacie złośliwy klient może wysyłać komunikaty KeyUpdate, aby zmusić serwer do ciągłego wykonywania operacji wyprowadzania kluczy w nieskończoność.

Wcześniej rozwiązywanie ścieżek względnych zawierających segmenty katalogu nadrzędnego ('..') wykonywało konwersje ciągów i przepisywanie buforów na każdym kroku, co skutkowało złożonością czasową kwadratową i wysokim narzutem alokacji pamięci. Teraz rozwiązywanie ścieżek działa na buforze bajtów przy użyciu indeksowanego cofania dla segmentów '..', eliminując kwadratową złożoność czasową i znacznie zmniejszając alokacje pamięci.

Wcześniej DecodeElement resetował licznik głębokości, co powodowało, że nigdy nie został wyzwolony; mogło to prowadzić do wyczerpania stosu.

Wcześniej patologiczne dane wejściowe mogły zamknąć nieucieczony znak '/' wcześnie, co pozwalało na wstrzyknięcie dowolnej treści kontrolowanej przez atakującego, potencjalnie prowadząc do XSS.

W systemach Unix otwieranie pliku w os.Root nieprawidłowo podąża za dowiązaniami symbolicznymi do lokalizacji poza Root, gdy ostatni komponent ścieżki jest dowiązaniem symbolicznym, a ścieżka kończy się na /. Na przykład 'root.Open("symlink/")' otworzy "symlink", nawet jeśli wskazuje on poza korzeń.

W bibliotece Go (Golang) stwierdzono podatność w funkcji (*x509.Certificate).VerifyHostname, która powoduje kwadratowy wzrost kosztów weryfikacji przy dużej liczbie wpisów DNS SAN. Atakujący może wykorzystać to do przeprowadzenia ataku DoS poprzez dostarczenie certyfikatu z wieloma wpisami SAN.

Funkcje Dial i LookupPort w Go powodują panikę na systemie Windows, gdy dane wejściowe zawierają znak NUL (0). Może to prowadzić do awarii aplikacji przetwarzającej niezaufane dane wejściowe.

Podatność w resolverze DNS cgo w Go (przy użyciu LookupCNAME) powoduje podwójne zwolnienie pamięci C i awarię w przypadku bardzo długiej odpowiedzi CNAME.

Podczas weryfikacji łańcucha certyfikatów z wykluczonymi ograniczeniami DNS, ograniczenia te nie są poprawnie stosowane do symboli wieloznacznych DNS SAN o innej wielkości liter. Dotyczy to tylko certyfikatów zaufanego łańcucha wydanych przez zaufane CA.

W języku Go kontekst nie był prawidłowo śledzony w gałęziach szablonów dla literałów szablonów JS, co prowadziło do nieprawidłowego kodowania treści. Ponadto akcje szablonów w literałach szablonów JS nie śledziły głębokości nawiasów klamrowych, co skutkowało nieprawidłowym kodowaniem. Te problemy mogą powodować podatności XSS.

Funkcja tar.Reader w języku Go może przydzielić nieograniczoną ilość pamięci podczas odczytu złośliwie spreparowanego archiwum zawierającego dużą liczbę rzadkich regionów zakodowanych w starym formacie 'old GNU sparse map'.

W systemie Linux, jeśli cel funkcji Root.Chmod zostanie zastąpiony dowiązaniem symbolicznym podczas trwania operacji chmod, Chmod może działać na celu dowiązania, nawet jeśli znajduje się on poza korzeniem. Wywołanie systemowe fchmodatat ignoruje flagę AT_SYMLINK_NOFOLLOW, której Root.Chmod używa do unikania podążania za dowiązaniami. Root.Chmod sprawdza cel przed działaniem i zwraca błąd, jeśli cel jest dowiązaniem poza korzeniem, więc wpływ jest ograniczony do przypadków, gdy cel zostanie zastąpiony dowiązaniem między sprawdzeniem a operacją.

Funkcja url.Parse w Go niewystarczająco weryfikuje komponent host/authority i akceptuje niektóre nieprawidłowe adresy URL.

Rozbieżność w sposobie parsowania komentarzy w Go i C/C++ umożliwiła przemycanie kodu do wynikowego pliku binarnego cgo.