Stack exhaustion due to deeply nested types in go/parser

中 5.5CVE-2022-1962 · BIT-golang-2022-1962 · GO-2022-0515 · 10/08/2022 公開 · 17/06/2026 更新

要点

CVE-2022-1962 は stdlib, go (golang) に影響する深刻度「中」 (CVSS 5.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.92%（全脆弱性の 60.2% より高い）。
対処：1.18.4, 1.17.12 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
stdlib Go	`≥ 1.18.0-0, < 1.18.4< 1.17.12`	`1.18.41.17.12`
go golang	`≥ 1.18.0, < 1.18.4< 1.17.12`	`1.18.41.17.12`

概要

Calling any of the Parse functions on Go source code which contains deeply nested types or declarations can cause a panic due to stack exhaustion.

NVD の説明

Uncontrolled recursion in the Parse functions in go/parser before Go 1.17.12 and Go 1.18.4 allow an attacker to cause a panic due to stack exhaustion via deeply nested types or declarations.

参考情報

go.dev/cl/417063 · FIX
go.googlesource.com/go/+/695be961d57508da5a82217f7415200a11845879 · FIX
go.dev/issue/53616 · REPORT
groups.google.com/g/golang-announce/c/nqrv9fbR0zE · WEB
pkg.go.dev/vuln/GO-2022-0515 · Vendor Advisory

stdlib のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

stdlib

≥ 1.18.0-0, < 1.18.4< 1.17.12

1.18.41.17.12

golang

≥ 1.18.0, < 1.18.4< 1.17.12