CVE-2017-15041
Açıklama
1.8.4 öncesindeki ve 1.9.1 öncesindeki 1.9.x Go sürümleri, "go get" üzerinden uzaktan komut çalıştırılmasına izin verir. Özel alan adları kullanılarak, example.com/pkg1 adresinin bir Subversion deposuna, ancak example.com/pkg1/pkg2 adresinin bir Git deposuna işaret etmesi sağlanabilir. Eğer Subversion deposunun pkg2 dizini bir Git checkout içeriyorsa ve işlemlerin doğru sıralamasını sağlamak için ek çalışmalar yapılırsa, "go get" pkg2'den kod çekmek için bu Git checkout'unu yeniden kullanmaya zorlanabilir. Subversion deposundaki Git checkout'unun .git/hooks/ dizininde kötü amaçlı komutlar varsa, bunlar "go get" işlemini çalıştıran sistemde yürütülür.
Nasıl düzeltilir
- toolchain1.8.4, 1.9.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| golang go | v ≤ 1.8.3, 1.9 | — |
| debian debian_linux | 9.0 | — |
| redhat developer_tools | 1.0 | — |
| redhat enterprise_linux_eus | 7.6, 7.7 | — |
| redhat enterprise_linux_server | 7.0 | — |
| redhat enterprise_linux_server_aus | 7.6, 7.7 | — |
| redhat enterprise_linux_tus | 7.6, 7.7 | — |
| toolchainGo | v < 1.8.4, 1.9.0-0 ≤ v < 1.9.1 | 1.8.4, 1.9.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.