CVE-2026-42501

Zərərli modul proksisi go əmrinin modul yoxlama cəmlərinin validasiyasındakı qüsurdan istifadə edərək yoxlama cəmi verilənlər bazasının validasiyasından yan keçə bilər. Bu zəiflik etibarsız modul proksisindən (GOMODPROXY) və ya yoxlama cəmi verilənlər bazasından (GOSUMDB) istifadə edən istənilən istifadəçiyə təsir edir. Zərərli modul proksisi Go alətlər zəncirinin dəyişdirilmiş versiyalarını təqdim edə bilər. Cari quraşdırılmış alətlər zəncirindən fərqli Go alətlər zənciri versiyası seçildikdə (GOTOOLCHAIN mühit dəyişəni, yaxud toolchain sətri olan go.work və ya go.mod səbəbindən), go əmri modul proksisi tərəfindən təqdim edilən alətlər zəncirini endirib icra edəcək. Zərərli modul proksisi bu endirilmiş alətlər zənciri üçün yoxlama cəmi verilənlər bazasının validasiyasından yan keçə bilər. Bu zəiflik alətlər zəncirinin endirilməsinin təhlükəsizliyinə təsir etdiyindən, GOTOOLCHAIN-in sabit versiyaya qoyulması kifayət deyil. Baza Go alətlər zəncirinizi yeniləməlisiniz. go aləti həmişə alətlər zəncirinin heşini icradan əvvəl yoxlayır, buna görə düzəldilmiş versiyalar keşlənmiş, dəyişdirilmiş alətlər zənciri versiyalarını icra etməkdən imtina edəcək. go aləti go.sum fayllarının cari modulun asılılıqlarının dəqiq heşlərini ehtiva etdiyinə etibar edir. Bu zəiflikdən istifadə edərək dəyişdirilmiş modul təqdim edən zərərli proksis go.sum-da yanlış heşin qeyd olunmasına səbəb olmuş olacaq. Etibarsız GOPROXY konfiqurasiya etmiş istifadəçilər "rm go.sum ; go mod tidy ; go mod verify" əmrini işə salaraq təsirlənib-təsirlənmədiklərini müəyyən edə bilərlər; bu, cari modulun bütün asılılıqlarını yenidən validasiya edəcək. Qüsurun daha ətraflı təfərrüatı: go əmri endirilmiş modulları validasiya etmək üçün yoxlama cəmi verilənlər bazasına müraciət edir, o zaman ki, modul go.sum faylında qeyd olunmayıb. O, yoxlama cəmi verilənlər bazası tərəfindən bildirilən modul heşinin endirilmiş modulun heşi ilə uyğun olduğunu yoxlayır. Lakin yoxlama cəmi verilənlər bazası modul üçün heç bir qeyd ehtiva etməyən uğurlu cavab qaytararsa, go əmri səhvən validasiyanın uğurla tamamlanmasına icazə verirdi. Modul proksisi yoxlama cəmi verilənlər bazasını əks etdirə və ya proksiləyə bilər, bu halda go əmri yoxlama cəmi verilənlər bazasına birbaşa qoşulmayacaq. Yoxlama cəmi verilənlər bazası tərəfindən bildirilən yoxlama cəmləri kriptoqrafik olaraq imzalandığından, zərərli proksis modul üçün bildirilən yoxlama cəmini dəyişdirə bilməz. Lakin boş yoxlama cəmi cavabı və ya əlaqəsiz modul üçün yoxlama cəmi cavabı qaytaran proksis, go əmrinin endirilmiş modulun validasiya olunduğu kimi davam etməsinə səbəb ola bilər.