Rolandshoemaker

**Nome do Software Vulnerável e Versões Afetadas** Versões do Go anteriores a 1.23.6 Versões do Go anteriores a 1.22.12 **Descrição** A questão refere-se a uma correção de segurança no módulo crypto/elliptic. Devido ao uso de uma instrução de tempo variável na implementação em assembly de uma função interna, um pequeno número de bits de escalares secretos são vazados na arquitetura ppc64le. No entanto, acredita-se que este vazamento não seja suficiente para permitir a recuperação da chave privada quando o P-256 é utilizado em qualquer protocolo bem conhecido. **Recomendações** Para versões do Go anteriores a 1.23.6, atualize para a versão 1.23.6 para resolver o problema. Para versões do Go anteriores a 1.22.12, atualize para a versão 1.22.12 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Go anteriores à 1.23.1 e à 1.22.1 **Descrição** O problema está relacionado à função `Parse` na linguagem de programação Go, que pode causar um erro de pânico devido ao esgotamento da pilha ao lidar com literais profundamente aninhados no código-fonte do Go. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. **Recomendações** Para versões do Go anteriores à 1.23.1, atualize para a versão 1.23.1 ou posterior. Para versões do Go anteriores à 1.22.1, atualize para a versão 1.22.1 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do Go anteriores à 1.23.1 Versões do Go anteriores à 1.22.7 **Descrição** O problema está relacionado à função `Parse` na linguagem de programação Go, que pode causar um erro de pânico devido ao esgotamento da pilha ao lidar com expressões profundamente aninhadas em uma linha de tag de compilação “// +build”. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. **Recomendações** Para versões do Go anteriores à 1.23.1, atualize para a versão 1.23.1 ou posterior. Para versões do Go anteriores à 1.22.7, atualize para a versão 1.22.7 ou posterior.

**Name of the Vulnerable Software and Affected Versions** net/html library (affected versions not specified) **Description** The issue arises from text nodes not in the HTML namespace being incorrectly literally rendered, causing text that should be escaped to not be. This could lead to an XSS attack. The vulnerability exists due to a lack of protection for the web page structure, potentially allowing a remote attacker to conduct cross-site scripting attacks. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Go versions prior to 1.21.2 Go versions prior to 1.20.9 **Description** The issue is related to the "//line" directive in the Go programming language, which can be exploited to bypass restrictions on "//go:cgo " directives. This allows blocked linker and compiler flags to be passed during compilation, potentially resulting in the unexpected execution of arbitrary code when running "go build". The exploitation of this issue is complex due to the requirement for the absolute path of the file in which the directive lives. **Recommendations** For Go versions prior to 1.21.2, update to version 1.21.2 or later to resolve the issue. For Go versions prior to 1.20.9, update to version 1.20.9 or later to resolve the issue. As a temporary workaround, consider restricting the use of the "//line" directive until a patch is available.