Nicholashusin

يمكن أن يؤدي بناء حزمة خبيثة تحتوي على ملفات `.syso` أو مدخلات رابط cgo إلى حقن أعلام رابط (linker flags) تعسفية أو تنفيذ رمز برمجي تعسفي أثناء وقت الربط. يحدث هذا لأن ملفات مدخلات الرابط—بما في ذلك ملفات `.syso` ومدخلات الكائنات أو المكتبات المباشرة في `#cgo LDFLAGS` والمكتبات في أدلة `-L`—كان يتم تمريرها إلى الرابط الخارجي دون التحقق من تنسيقها أو فحص خيارات الرابط المدمجة. سمح هذا عبر المنصات المختلفة بتنفيذ سكربتات رابط GNU ld الضمنية المتنكرة في شكل مكتبات أو ملفات `.syso` أو تحميلها عبر `-l:<filename>` أو `-l` التي تحتوي على فاصل مسارات، أو حقن أعلام رابط غير مسموح بها عبر أقسام `.drectve` في PE/COFF على نظام Windows أو أوامر تحميل `LC LINKER OPTION` في Mach-O على نظام Darwin، أو استدعاء إضافات LTO (تحسين وقت الربط) عبر أقسام التمثيل الوسيط LTO الخاصة بـ GCC أو LLVM في كائنات ELF أو PE/COFF أو Mach-O.

يمكن أن يؤدي بناء حزمة خبيثة باستخدام cgo مع GCC إلى تنفيذ أوامر عشوائية أثناء وقت الربط (link time) من خلال استخدام ملفات مواصفات GCC غير موثوقة (`specs` أو `*.spec`). يحدث هذا عند الربط باستخدام `-fopenmp` أو `-fopenacc` أو `-fsanitize=` ضمن `#cgo LDFLAGS`. في هذه الحالات، تقوم مواصفات الربط المدمجة في GCC بتقييم `%:include(libgomp.spec)` أو `%:include(libsanitizer.spec)` والبحث عن ملفات المواصفات في دليل العمل، وأدلة `-L` وأدلة sysroot، بما في ذلك الأدلة الفرعية وأدلة multilib الشقيقة مثل `../lib64`.

يمكن أن يؤدي بناء حزمة خبيثة تستخدم cgo إلى تنفيذ رمز عشوائي في وقت الربط عن طريق تمرير ملفات نص برمجية للرابط (linker script files) إلى رابط المضيف عبر `#cgo LDFLAGS`. وتحديداً، كانت بعض أعلام `-Wl,` المنقسمة التي تستهلك وسيطاً تالياً، مثل `-Wl,-rpath` و `-Wl,--just-symbols` و `-Wl,-undefined` تقبل سابقاً وسيطاً ثانياً مجرداً بدون بادئة `-Wl,` والتي كان برنامج تشغيل المترجم يمررها مباشرة إلى الرابط كملف إدخال موضعي. بالإضافة إلى ذلك، عند استخدام GNU ld.bfd، يمكن أن تؤدي الأعلام مثل `-framework` و `-Wl,-framework` و `-Wl,-undefined` و `-Wl,--just-symbols` و `-Wl,-R` و `-Wl,-subsystem` و `-Wl,-sectcreate` (على المنصات غير التابعة لـ Darwin) إلى جعل ld.bfd يفسر وسائطها على أنها ملفات نص برمجية للرابط إذا كانت تشير إلى ملف عادي على القرص.

يمكن أن يؤدي بناء حزمة خبيثة باستخدام cgo إلى تنفيذ رمز عشوائي أثناء عملية البناء من خلال أعلام (flags) محددة للمترجم والرابط في توجيهات `#cgo`. تتضمن المشكلة عدة آليات: يسمح علم `--sysroot` في GCC و Clang بنقل البرامج الفرعية للمترجم وكائنات بدء تشغيل CRT إلى دليل يتحكم فيه المهاجم؛ وقد يقوم علم `-target` في Clang بتنفيذ أدوات مساعدة من دليل العمل الحالي عندما لا يتم العثور عليها في PATH؛ ويمكن لأعلام `-isysroot` و `-Wl,-syslibroot` تمرير ملف عادي إلى GNU ld.bfd، والذي يفسره كسكربت رابط موضعي؛ ويسمح علم `-x` بتحديد لغات إدخال مترجم عشوائية غير مدعومة بواسطة cgo.

يمكن أن يؤدي بناء حزمة خبيثة تستخدم توجيهات `#cgo pkg-config:` إلى تحميل ملفات `.pc` غير موثوقة خاصة بـ pkg-config أو حقن أعلام مترجم ورابط (linker) غير مصدق عليها. يحدث هذا لأن قائمة السماح الخاصة بأعلام pkg-config كانت تسمح سابقاً بـ `--with-path=` و `--personality=`، وتسمح بقيم `--define-variable=` التي تبدأ بـ `=` أو `$`، مما قد يؤدي إلى إعادة كتابة المسارات في ملفات `.pc` الخاصة بالنظام إلى مسارات بحث للرابط مسبوقة بـ sysroot. بالإضافة إلى ذلك، فإن وسائط الحزمة التي تنتهي بـ `.pc` أو تحتوي على فاصل مسارات أو `..` تسببت في قيام pkg-config بتحميل ملفات `.pc` محلية مباشرة من دليل الحزمة. علاوة على ذلك، لم يتم فحص الأعلام التي تعيدها `pkg-config --cflags` في `cgoCPPFLAGS` عند تحديد ما إذا كان الربط الداخلي آمناً.

تتضمن الدالات الموجودة ضمن حزمة `net/textproto` إدخال البيانات كجزء من نص الخطأ عند إرجاع الأخطاء. ويسمح هذا السلوك للمهاجم بحقن محتوى مضلل في الأخطاء التي يتم عرضها أو تسجيلها لاحقًا.

بشكل افتراضي، يتصل البرنامج عبر الأنابيب (pipe)، لكن علامتي `-port` و`-listen` متاحتان لأغراض التصحيح. إذا تم توفير علامة `-listen` دون تحديد مضيف صريح (على سبيل المثال، ’:8080‘) أو إذا تم استخدام علامة `-port`، فإن التطبيق يرتبط بـ 0.0.0.0. قد يسمح هذا التكوين لمهاجم خبيث على نفس الشبكة بتنفيذ تعليمات برمجية تعسفية.