golang-nanoauth authentication bypass vulnerability

緊急 9.1CVE-2020-36569 · GHSA-hrm3-3xm6-x33h · GO-2020-0004 · 27/12/2022 公開 · 17/06/2026 更新

要点

CVE-2020-36569 は github.com/nanobox-io/golang-nanoauth, golang-nanoauth (digitalocean) に影響する深刻度「緊急」 (CVSS 9.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.88%（全脆弱性の 59.1% より高い）。
対処：0.0.0-20200131131040-063a3fb69896 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/nanobox-io/golang-nanoauth Go	`≥ 0.0.0-20160722212129-ac0cc4484ad4, < 0.0.0-20200131131040-063a3fb69896`	`0.0.0-20200131131040-063a3fb69896`
golang-nanoauth digitalocean	`≥ 2016-07-22, ≤ 2020-01-31`	修正版なし

概要

Authentication is globally bypassed in github.com/nanobox-io/golang-nanoauth between v0.0.0-20160722212129-ac0cc4484ad4 and v0.0.0-20200131131040-063a3fb69896 if ListenAndServe is called with an empty token.

NVD の説明