Nicholashusin

A compilação de um pacote malicioso contendo arquivos `.syso` ou entradas de linker cgo pode injetar flags de linker arbitrárias ou executar código arbitrário no momento da vinculação. Isso acontece porque arquivos de entrada do linker—incluindo arquivos `.syso`, entradas diretas de objetos ou bibliotecas em `#cgo LDFLAGS` e bibliotecas em diretórios `-L`—eram passados ao linker externo sem a validação de seu formato ou verificação de opções de linker incorporadas. Em diversas plataformas, isso permitia a execução de scripts de linker implícitos do GNU ld disfarçados de bibliotecas ou arquivos `.syso`, a injeção de flags de linker não permitidas via seções `.drectve` de PE/COFF no Windows ou comandos de carregamento `LC LINKER OPTION` de Mach-O no Darwin, ou a invocação de plugins LTO (Link Time Optimization) via seções de representação intermediária LTO do GCC ou LLVM em objetos ELF, PE/COFF ou Mach-O.

A compilação de um pacote malicioso usando cgo com GCC pode levar à execução arbitrária de comandos durante o tempo de ligação (link time) através do uso de arquivos de especificação do GCC não confiáveis (`specs` ou `*.spec`). Isso ocorre ao vincular com `-fopenmp`, `-fopenacc` ou `-fsanitize=` em `#cgo LDFLAGS`. Nesses casos, a especificação de ligação integrada do GCC avalia `%:include(libgomp.spec)` ou `%:include(libsanitizer.spec)` e pesquisa arquivos de especificação no diretório de trabalho, diretórios `-L` e diretórios sysroot, incluindo subdiretórios e diretórios irmãos multilib como `../lib64`.

A compilação de um pacote malicioso usando cgo pode causar a execução de código arbitrário no momento da vinculação. Isso ocorre ao passar arquivos de script do vinculador para o vinculador do host via `#cgo LDFLAGS`. Especificamente, certas flags `-Wl,` divididas que consomem um argumento seguinte, como `-Wl,-rpath`, `-Wl,--just-symbols` e `-Wl,-undefined`, aceitavam anteriormente um segundo argumento sem o prefixo `-Wl,`, o qual o driver do compilador passava diretamente ao vinculador como um arquivo de entrada posicional. Além disso, ao usar GNU ld.bfd, flags como `-framework`, `-Wl,-framework`, `-Wl,-undefined`, `-Wl,--just-symbols`, `-Wl,-R`, `-Wl,-subsystem` e `-Wl,-sectcreate` (em plataformas não-Darwin) poderiam fazer com que o ld.bfd interpretasse seus argumentos como scripts de vinculador se eles nomeassem um arquivo regular no disco.

A compilação de um pacote malicioso usando cgo pode causar a execução de código arbitrário durante o processo de build através de flags específicas de compilador e linker em diretivas `#cgo`. O problema envolve vários mecanismos: a flag `--sysroot` no GCC e Clang permite realocar subprogramas do compilador e objetos de inicialização CRT para um diretório controlado por um invasor; a flag `-target` no Clang pode executar ferramentas auxiliares do diretório de trabalho atual quando não são encontradas no PATH; as flags `-isysroot` e `-Wl,-syslibroot` podem passar um arquivo comum para o GNU ld.bfd, que o interpreta como um script de linker posicional; e a flag `-x` permite a especificação de linguagens de entrada de compilador arbitrárias não suportadas pelo cgo.

A compilação de um pacote malicioso que utiliza diretivas `#cgo pkg-config:` pode carregar arquivos `.pc` do pkg-config não confiáveis ou injetar flags de compilador e linker não validadas. Isso acontece porque a lista de permissões de flags do pkg-config anteriormente permitia `--with-path=` e `--personality=`, e permitia valores de `--define-variable=` começando com `=` ou `$`, o que poderia reescrever caminhos de arquivos `.pc` do sistema em caminhos de busca do linker prefixados por sysroot. Além disso, argumentos de pacote terminando em `.pc` ou contendo separadores de caminho ou `..` faziam com que o pkg-config carregasse arquivos `.pc` locais diretamente do diretório do pacote. Adicionalmente, as flags retornadas por `pkg-config --cflags` em `cgoCPPFLAGS` não eram verificadas ao determinar se a vinculação interna era segura.

Funções no pacote `net/textproto` incluem a entrada como parte do erro ao retornar erros. Esse comportamento permite que um invasor injete conteúdo enganoso em erros que são posteriormente impressos ou registrados em logs.

Por padrão, o software se comunica via pipe, mas as flags `-port` e `-listen` estão disponíveis para depuração. Se a flag `-listen` for fornecida sem um host explícito (ex: ':8080') ou se a flag `-port` for utilizada, a aplicação vincula-se ao endereço 0.0.0.0. Essa configuração pode permitir que um agente malicioso na mesma rede execute código arbitrariamente.