CVE-2023-45289

Versões do golang (versões afetadas não especificadas)

http.Client (versões afetadas não especificadas)

O problema está relacionado à forma como o http.Client lida com redirecionamentos HTTP. Quando um redirecionamento HTTP é feito para um domínio que não é uma correspondência de subdomínio ou uma correspondência exata do domínio inicial, cabeçalhos confidenciais como Authorization ou Cookie não são encaminhados. No entanto, um redirecionamento HTTP criado de forma maliciosa poderia fazer com que esses cabeçalhos confidenciais fossem encaminhados inesperadamente. Por exemplo, um redirecionamento de foo.com para www.foo.com encaminhará o cabeçalho Authorization, mas um redirecionamento para bar.com não o fará.

Para o Golang, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Para o http.Client, considere restringir o encaminhamento de cabeçalhos confidenciais apenas a domínios confiáveis para minimizar o risco de exploração. Como solução temporária, considere desativar o encaminhamento automático de cabeçalhos confidenciais até que um patch esteja disponível.