p PatchFirst

CVE-2023-45285

CVE-2023-45285 · Command 'go get' may unexpectedly fallback to insecure git in cmd/go

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Using go get to fetch a module with the ".git" suffix may unexpectedly fallback to the insecure "git://" protocol if the module is unavailable via the secure "https://" and "git+ssh://" protocols, even if GOINSECURE is not set for said module. This only affects users who are not using the module proxy and are fetching modules directly (i.e. GOPROXY=off).

CVSS 7.5 · Высокий · EPSS 1,1% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • cmd/go

    Версии
    • ≥ 0, < 1.20.12: Затронуто (semver)
    • ≥ 1.21.0-0, < 1.21.5: Затронуто (semver)

    Обновитесь до 1.20.12; Обновитесь до 1.21.5

  • golang-1.19 Debian:12

    Версии
    • 1.19.10-1
    • 1.19.10-2
    • 1.19.11-1
    • 1.19.12-1
    • 1.19.12-2
    • 1.19.12-2~bpo11+1
    • 1.19.12-2~bpo12+1
    • 1.19.13-1
    • 1.19.13-1~bpo11+1
    • 1.19.13-1~bpo12+1
    • 1.19.8-2
    • 1.19.9-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.20 Ubuntu:20.04:LTS

    Версии
    • 1.20.3-1ubuntu0.1~20.04
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.20.3-1ubuntu0.1~20.04.1

    Обновитесь до 1.20.3-1ubuntu0.1~20.04.1

  • golang-1.21 Ubuntu:20.04:LTS

    Версии
    • 1.21.1-1~ubuntu20.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.21.1-1~ubuntu20.04.2

    Обновитесь до 1.21.1-1~ubuntu20.04.2

  • golang-1.20 Ubuntu:22.04:LTS

    Версии
    • 1.20.3-1ubuntu0.1~22.04
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.20.3-1ubuntu0.1~22.04.1

    Обновитесь до 1.20.3-1ubuntu0.1~22.04.1

  • golang-1.21 Ubuntu:22.04:LTS

    Версии
    • 1.21.1-1~ubuntu22.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.21.1-1~ubuntu22.04.2

    Обновитесь до 1.21.1-1~ubuntu22.04.2

Первоисточники

Проверьте свой сервер →