Уязвимость CVE-2023-45285: Информация

Описание

Using go get to fetch a module with the ".git" suffix may unexpectedly fallback to the insecure "git://" protocol if the module is unavailable via the secure "https://" and "git+ssh://" protocols, even if GOINSECURE is not set for said module. This only affects users who are not using the module proxy and are fetching modules directly (i.e. GOPROXY=off).

Важность: HIGH (7,5) Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

URL: https://nvd.nist.gov/vuln/detail/CVE-2023-45285
Опубликовано: 6 декабря 2023 г.
Изменено: 20 января 2024 г.

Исправленные пакеты

Имя пакета
Ветка
Исправлено в версии
Версия в репозитории
Errata ID
№ Задания
Состояние
golangsisyphus1.21.5-alt11.22.3-alt1ALT-PU-2023-7813-1335895Исправлено
golangsisyphus_riscv641.21.5-alt11.22.3-alt1ALT-PU-2023-7948-1-Исправлено
golangsisyphus_loongarch641.21.5-alt0.port1.22.3-alt1ALT-PU-2023-7878-1-Исправлено
golangp101.20.12-alt11.21.10-alt1ALT-PU-2023-7811-2335893Исправлено
golangc10f11.20.12-alt11.21.10-alt1ALT-PU-2023-7810-2335894Исправлено

Ссылки на рекомендации, решения и инструменты

Ссылка
Ресурс
https://groups.google.com/g/golang-dev/c/6ypN5EjibjM/m/KmLVYH_uAgAJ
  • Mailing List
  • Vendor Advisory
https://go.dev/issue/63845
  • Issue Tracking
  • Vendor Advisory
https://go.dev/cl/540257
  • Patch
https://pkg.go.dev/vuln/GO-2023-2383
  • Patch
  • Vendor Advisory
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UIU6HOGV6RRIKWM57LOXQA75BGZSIH6G/

      1. Конфигурация 1

        cpe:2.3:a:golang:go:*:*:*:*:*:*:*:*
        End excliding
        1.20.12
        cpe:2.3:a:golang:go:*:*:*:*:*:*:*:*
        Start including
        1.21.0-0
        End excliding
        1.21.5
    VKontakte|Telegram|YouTube|Forum|GitHub|Bugzilla
    Версия: v24.5.1
    Наверх