CVE-2023-32691
Açıklama
gost (GO Simple Tunnel), golang ile yazılmış basit bir tüneldir. Parolalar, tokenlar ve API anahtarları gibi hassas sırlar yalnızca sabit zamanlı bir karşılaştırma fonksiyonu kullanılarak karşılaştırılmalıdır. Bir HTTP başlığından gelen güvenilmeyen girdi, doğrudan bir sırla karşılaştırılmaktadır. Bu karşılaştırma güvenli olmadığından, bir saldırgan parolayı tahmin etmek için yan kanal zamanlama saldırısı gerçekleştirebilir. Geçici bir çözüm olarak bu durum, `crypto/subtle` paketindeki `ConstantTimeCompare` gibi sabit zamanlı bir karşılaştırma fonksiyonu kullanılarak kolayca düzeltilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| go_simple_tunnel_project go_simple_tunnel | v ≤ 2.11.5 | — |
| github.com/ginuerzh/gostGo | v ≤ 2.11.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.