Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-00903

Опубликовано: 07 фев. 2018
Источник: fstec
CVSS3: 9.8
CVSS2: 7.5
EPSS Средний

Описание

Уязвимость реализации команды «go get» языка программирования Golang связана с отсутствием блокировки аргументов -fplugin = и -plugin = во время сборки исходного кода, используя функции плагинов gcc или clang. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнение команды «go get»

Вендор

Сообщество свободного программного обеспечения
The Go Project
АО "НППКТ"
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Go
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
до 1.8.6 включительно (Go)
8 (Debian GNU/Linux)
до 2.1 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

АО "НППКТ" ОСОН ОСнова Оnyx до 2.1
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для golang-1.8:
Обновление программного обеспечения до 1.8.1-1+deb9u1 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета golang-1.8) до 1.8.1-1+deb9u1 или более поздней версии
Для ОСОН ОСнова Оnyx:Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova5
Для ОС ОН «Стрелец»:
Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova6.strelets
Обновление программного обеспечения golang-1.11 до версии 1.11.6-1+deb10u4.osnova6strelets

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 97%
0.36789
Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVSS3: 7.8
ubuntu
почти 8 лет назад

Go before 1.8.7, Go 1.9.x before 1.9.4, and Go 1.10 pre-releases before Go 1.10rc2 allow "go get" remote command execution during source code build, by leveraging the gcc or clang plugin feature, because -fplugin= and -plugin= arguments were not blocked.

CVSS3: 5.8
redhat
около 8 лет назад

Go before 1.8.7, Go 1.9.x before 1.9.4, and Go 1.10 pre-releases before Go 1.10rc2 allow "go get" remote command execution during source code build, by leveraging the gcc or clang plugin feature, because -fplugin= and -plugin= arguments were not blocked.

CVSS3: 7.8
nvd
почти 8 лет назад

Go before 1.8.7, Go 1.9.x before 1.9.4, and Go 1.10 pre-releases before Go 1.10rc2 allow "go get" remote command execution during source code build, by leveraging the gcc or clang plugin feature, because -fplugin= and -plugin= arguments were not blocked.

CVSS3: 7.8
debian
почти 8 лет назад

Go before 1.8.7, Go 1.9.x before 1.9.4, and Go 1.10 pre-releases befor ...

CVSS3: 7.8
github
больше 3 лет назад

Go before 1.8.7, Go 1.9.x before 1.9.4, and Go 1.10 pre-releases before Go 1.10rc2 allow "go get" remote command execution during source code build, by leveraging the gcc or clang plugin feature, because -fplugin= and -plugin= arguments were not blocked.

EPSS

Процентиль: 97%
0.36789
Средний

9.8 Critical

CVSS3

7.5 High

CVSS2