Tóm tắt nhanh
- CVE-2018-16874 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng toolchain, go (golang), backports sle (opensuse).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 5.0%, cao hơn 92.3% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 1.11.3, 1.10.6 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| toolchain Go | ≥ 1.11.0-0, < 1.11.3< 1.10.6
| 1.11.31.10.6
|
| go | ≥ 1.11.0, < 1.11.3< 1.10.6
| 1.11.31.10.6
|
| backports sle | = 15.0
| Chưa có bản vá |
Mô tả
The "go get" command is vulnerable to directory traversal when executed with the import path of a malicious Go package which contains curly brace (both '{' and '}' characters).
Specifically, it is only vulnerable in GOPATH mode, but not in module mode (the distinction is documented at https://golang.org/cmd/go/#hdr-Module_aware_go_get). The attacker can cause an arbitrary filesystem write, which can lead to code execution.
Mô tả của NVD
In Go before 1.10.6 and 1.11.x before 1.11.3, the "go get" command is vulnerable to directory traversal when executed with the import path of a malicious Go package which contains curly braces (both '{' and '}' characters). Specifically, it is only vulnerable in GOPATH mode, but not in module mode (the distinction is documented at https://golang.org/cmd/go/#hdr-Module_aware_go_get). The attacker can cause an arbitrary filesystem write, which can lead to code execution.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí