BDU:2019-00903 (CVE-2018-6574)

Уязвимость реализации команды «go get» программного пакета Go, позволяющая нарушителю удаленно выполнить команду «go get»

Опубликовано: 2019-03-06

Описание

Уязвимость реализации команды «go get» языка программирования Golang связана с отсутствием блокировки аргументов -fplugin = и -plugin = во время сборки исходного кода, используя функции плагинов gcc или clang. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнение команды «go get»

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Go (до 1.8.6 включительно)Debian GNU/Linux (8)ОСОН ОСнова Оnyx (до 2.1)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для golang-1.8:
Обновление программного обеспечения до 1.8.1-1+deb9u1 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета golang-1.8) до 1.8.1-1+deb9u1 или более поздней версии

Для ОСОН ОСнова Оnyx:Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova5

Для ОС ОН «Стрелец»:
Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova6.strelets
Обновление программного обеспечения golang-1.11 до версии 1.11.6-1+deb10u4.osnova6strelets

Оценка CVSS

Балл	7.5 — критическая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2018-6574 https://security-tracker.debian.org/tracker/CVE-2018-6574 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023 https://github.com/acole76/cve-2018-6574

Проверьте безопасность своего сайта и почты → Полная проверка домена