CVE-2023-24531
CriticalSummary
Polecenie 'go env' jest dokumentowane jako generujące skrypt powłoki zawierający środowisko Go. Jednak 'go env' nie oczyszcza wartości, co może prowadzić do niepożądanych zachowań, takich jak wykonywanie dowolnych poleceń lub wstawianie nowych zmiennych środowiskowych.
Risk Assessment
Ryzyko dla organizacji jest stosunkowo niewielkie, ponieważ jeśli atakujący ma możliwość ustawienia dowolnych zmiennych środowiskowych w systemie, ma lepsze wektory ataku niż zmuszanie 'go env' do ich wyświetlenia.
Recommendation
Zaleca się ograniczenie możliwości ustawiania zmiennych środowiskowych przez nieautoryzowanych użytkowników oraz monitorowanie użycia polecenia 'go env' w systemie.
Original NVD description (English source)
Command go env is documented as outputting a shell script containing the Go environment. However, go env doesn't sanitize values, so executing its output as a shell script can cause various bad bahaviors, including executing arbitrary commands or inserting new environment variables. This issue is relatively minor because, in general, if an attacker can set arbitrary environment variables on a system, they have better attack vectors than making "go env" print them out.