Удаленное выполнение команд

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Go

Go (1.1, 1.8.4, 1.9, 1.9.1)

Уязвимость в Go позволяет "go get" удаленно выполнять команды. Используя специальные (custom) домены, можно настроить example.com/pkg1 на репозиторий Subversion, а example.com/pkg1/pkg2 настроить на репозиторий Git. Если репозиторий Subversion содержит рабочую копию Git в своем каталоге pkg2 и ведется работа по подтверждению правильности порядка операций, "go get" может переиспользовать копию Git для получения кода из pkg2. Если копия Git репозитория Subversion содержит вредоносные команды в .git/hooks/, то они будут выполнены в системе, использующей "go get".

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://go.dev/

Источник: CVE
Наименование: CVE-2017-15041
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-15041