CVE-2026-33487
Açıklama
goxmlsig, Go dilinde uygulanmış XML Dijital İmzaları sağlar. Versiyon 1.6.0 öncesinde, `validate.go` dosyasındaki `validateSignature` fonksiyonu, imzalanan öğenin kimliğiyle eşleşen bir tanesini bulmak için `SignedInfo` bloğundaki referansları inceler. 1.22 öncesindeki Go versiyonlarında veya `go.mod` daha eski bir versiyon kullandığında, bir döngü değişkeni yakalama sorunu mevcuttur. Kod, `_ref` döngü değişkeninin değeri yerine adresini alır. Sonuç olarak, birden fazla referans kimlikle eşleşirse veya döngü mantığı hatalıysa, `ref` işaretçisi döngü sonunda her zaman `SignedInfo.References` dilimindeki son öğeyi gösterecektir. goxmlsig versiyon 1.6.0 bir yama içermektedir.
Nasıl düzeltilir
- goxmldsig_project goxmldsig1.6.0 ya da sonraki bir sürüm
- github.com/russellhaering/goxmldsig1.6.0 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:22423
- access.redhat.com/errata/RHSA-2026:22347
- access.redhat.com/errata/RHSA-2026:23345
- access.redhat.com/errata/RHSA-2026:36882
- access.redhat.com/errata/RHSA-2026:13548
- access.redhat.com/errata/RHSA-2026:20946
- access.redhat.com/errata/RHSA-2026:20943
- access.redhat.com/errata/RHSA-2026:21769
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goxmldsig_project goxmldsig | v < 1.6.0 | 1.6.0 |
| github.com/russellhaering/goxmldsigGo | v < 1.6.0 | 1.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.