Improper handling of non-optional LDFLAGS in go command with cgo in cmd/go

NGHIÊM TRỌNG 9.8CVE-2023-29404 · BIT-golang-2023-29404 · GO-2023-1841 · Công bố 08/06/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-29404 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng toolchain, go (golang).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.8%, cao hơn 78.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.20.5, 1.19.10 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
toolchain Go	`≥ 1.20.0-0, < 1.20.5< 1.19.10`	`1.20.51.19.10`
go golang	`≥ 1.20.0, < 1.20.5< 1.19.10`	`1.20.51.19.10`

Mô tả

The arguments for a number of flags which are non-optional are incorrectly considered optional, allowing disallowed flags to be smuggled through the LDFLAGS sanitization. This affects usage of both the gc and gccgo compilers.

Mô tả của NVD

The go command may execute arbitrary code at build time when using cgo. This may occur when running "go get" on a malicious module, or when running any other command which builds untrusted code. This is can by triggered by linker flags, specified via a "#cgo LDFLAGS" directive. The arguments for a number of flags which are non-optional are incorrectly considered optional, allowing disallowed flags to be smuggled through the LDFLAGS sanitization. This affects usage of both the gc and gccgo compilers.