BDU:2023-03200

Уязвимость языка программирования Go, связанная с небезопасным внешним контролем за критическими данными состояния, позволяющая нарушителю повысить свои привилегии и получить доступ на чтение, изменение или удаление данных

Опубликовано: 2023-06-16

Описание

Уязвимость языка программирования Go связана с небезопасным внешним контролем за критическими данными состояния при обработке атрибутов setuid и setgid. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии и получить доступ на чтение, изменение или удаление данных

Затрагиваемое ПО и версии

РЕД ОС (7.3)Go (до 1.19.10)Go (от 1.20.0 до 1.20.5)ROSA Virtualization 3.0 (3.0)

Способ устранения

Использование рекомендаций:
Для Go:
https://go.dev/dl/
https://github.com/golang/go/commit/36144ba429ef2650940c72e7a0b932af3612d420
https://github.com/golang/go/commit/a7b1cd452ddc69a6606c2f35ac5786dc892e62cb

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2830

Оценка CVSS

Балл	5.1 — средняя опасность

Источники и патчи

https://go.dev/cl/501223 https://go.dev/issue/60272 https://groups.google.com/g/golang-announce/c/q5135a9d924/m/j0ZoAJOHAwAJ https://pkg.go.dev/vuln/GO-2023-1840 https://vuldb.com/ru/?id.231136 https://redos.red-soft.ru/support/secure/https://abf.rosa.ru/advisories/ROSA-SA-2025-2830

Проверьте безопасность своего сайта и почты → Полная проверка домена