阿里云漏洞库

中危 cmd/go 安全漏洞

CVE编号

CVE-2022-23773

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-02-11

漏洞描述

Google Go Cmd/go是美国谷歌（Google）公司的一个为Go语言提供命令支持的代码库。

cmd/go存在安全漏洞，该漏洞源于cmd进入1.16.14和1.17之前的go。X在1.17.7之前可能会错误地将分支名称理解为版本标记。如果参与者应该能够创建分支而不是标记，那么这可能会导致不正确的访问控制。

解决建议

目前厂商暂未发布修复措施解决此安全问题。

参考链接
https://groups.google.com/g/golang-announce/c/SUsQn0aSgPQ
https://security.gentoo.org/glsa/202208-02
https://security.netapp.com/advisory/ntap-20220225-0006/
https://www.oracle.com/security-alerts/cpujul2022.html

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	golang	go	*		Up to (excluding) 1.16.14
	运行在以下环境
	应用	golang	go	*	From (including) 1.17.0	Up to (excluding) 1.17.7
	运行在以下环境
	系统	alpine_3.14	go	*		Up to (excluding) 1.16.15-r0
	运行在以下环境
	系统	alpine_3.15	go	*		Up to (excluding) 1.17.9-r0
	运行在以下环境
	系统	alpine_3.16	go	*		Up to (excluding) 1.17.7-r0
	运行在以下环境
	系统	alpine_3.17	go	*		Up to (excluding) 1.17.7-r0
	运行在以下环境
	系统	alpine_3.18	go	*		Up to (excluding) 1.17.7-r0
	运行在以下环境
	系统	alpine_3.19	go	*		Up to (excluding) 1.17.7-r0
	运行在以下环境
	系统	amazon_2	golang	*		Up to (excluding) 1.16.15-1.amzn2.0.1
	运行在以下环境
	系统	amazon_2023	golang	*		Up to (excluding) 1.19.8-1.amzn2023.0.1
	运行在以下环境
	系统	amazon_AMI	golang	*		Up to (excluding) 1.18.6-1.42.amzn1
	运行在以下环境
	系统	debian_11	golang-1.15	*		Up to (excluding) 1.15.15-1~deb11u3
	运行在以下环境
	系统	fedora_EPEL_7	golang	*		Up to (excluding) 1.17.7-1.el7
	运行在以下环境
	系统	opensuse_Leap_15.3	go1.16	*		Up to (excluding) 1.16.14-1.43.1
	运行在以下环境
	系统	opensuse_Leap_15.4	go1.16	*		Up to (excluding) 1.16.14-1.43.1

攻击路径

远程
攻击复杂度

复杂
权限要求

无需权限
影响范围

全局影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-436	解释冲突
CWE-863	授权机制不正确