Golang < 1.19.10 / 1.20.x < 1.20.5 多个漏洞

critical Nessus 插件 ID 177342

语言：

简介

远程 Windows 主机上安装的应用程序受到多个漏洞影响。

描述

远程主机上安装的 Golang Go 版本受到多个漏洞的影响：

- 使用 cgo 时，go 命令可能在构建时生成非预期的代码。这可能导致在运行使用 cgo 的 go 程序时发生意外情况。如果不受信任的模块包含名称中带换行符的目录，运行此模块则可能会导致此问题发生。使用 go 命令（即通过 'go get'）检索到的模块不受影响（使用 GOPATH-mode 检索到的模块，如 GO111MODULE=off）。(CVE-2023-29402)

- 使用 cgo 时，go 命令可能在构建时执行任意代码。在恶意模块上运行“go get”或运行构建不受信任代码的任何其他命令时，可能会发生这种情况。此问题可由通过“#cgo LDFLAGS”指令指定的链接器标记触发。大量非可选标记的参数被错误地视为可选，从而允许通过 LDFLAGS 审查走私禁用的标记。这会影响 gc 和 gccgo 编译器的使用。(CVE-2023-29404)

- 使用 cgo 时，go 命令可能在构建时执行任意代码。在恶意模块上运行“go get”或运行构建不受信任代码的任何其他命令时，可能会发生这种情况。此问题可由通过“#cgo LDFLAGS”指令指定的链接器标记触发。由于包含嵌入空格的标记处理不当，导致可以通过 LDFLAGS 审查走私禁用的标记，方法则是将这些标记纳入另一个标记的参数中。此问题只会影响 gccgo 编译器的使用。(CVE-2023-29405) 请注意，Nessus 并未测试这些问题，而只是依赖应用程序自我报告的版本号进行判断。32