CVE-2024-24790
KrytyczneStreszczenie
Podatność w standardowej bibliotece Go (net/netip) powoduje, że metody IsPrivate, IsLoopback i inne niepoprawnie obsługują adresy IPv4-mapped IPv6, zwracając false dla adresów, które w tradycyjnej formie IPv4 zwróciłyby true.
Ocena ryzyka
Organizacja może błędnie klasyfikować ruch sieciowy, co prowadzi do omijania reguł bezpieczeństwa, np. przepuszczania ruchu z pętli zwrotnej lub prywatnych adresów, które powinny być blokowane.
Rekomendacja
Zaktualizuj bibliotekę Go do wersji zawierającej poprawkę (np. Go 1.22.2 lub nowsza) i przebuduj aplikacje korzystające z metod IsPrivate/IsLoopback na adresach IPv4-mapped IPv6.
Oryginalny opis (angielski, źródło NVD)
The various Is methods (IsPrivate, IsLoopback, etc) did not work as expected for IPv4-mapped IPv6 addresses, returning false for addresses which would return true in their traditional IPv4 forms.