PT-2020-16998
CVE-2020-28366
·
Publicado
2020-11-16
·
Atualizado
2024-06-15
Descrição por
CVSS 3.1
7.5
AltaMétricasAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Go anteriores à 1.14.12
Versões do Go 1.15.x anteriores à 1.15.5
Descrição
A vulnerabilidade permite a injeção de código no comando
go quando o cgo é utilizado, podendo levar à execução de código arbitrário durante a compilação. Isso pode ocorrer por meio de um nome de símbolo malicioso sem aspas em um arquivo objeto vinculado, como ao executar go get em um pacote malicioso ou qualquer outro comando que compile código não confiável.Recomendações
Para versões do Go anteriores à 1.14.12, atualize para a versão 1.14.12 ou posterior.
Para versões do Go 1.15.x anteriores à 1.15.5, atualize para a versão 1.15.5 ou posterior.
Como solução temporária, considere evitar o uso do cgo com código não confiável até que um patch seja aplicado.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾