CVE-2026-94444
NieznaneStreszczenie
Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy golang.org/fips140 i korzysta ze złośliwego GOMODPROXY, mógł otrzymać dowolny moduł w jego miejsce. Teraz rozpakowywany jest zaufany ziphash dla dołączonego modułu golang.org/fips140 i tworzony jest jego wpis w GOMODCACHE, aby mógł być zweryfikowany przez łańcuch narzędzi.
Ocena ryzyka
Podmiana modułu fips140 na dowolny moduł może prowadzić do wykonania niezaufanego kodu i naruszenia bezpieczeństwa kryptograficznego.
Rekomendacja
Zaktualizuj Go do wersji z poprawką i unikaj używania niezaufanych GOMODPROXY.
Inne podatności w Go toolchain
Zobacz wszystkie- CVE-2026-94447Nieznane
Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy wpis golang.org/toolchain w go.sum i korzysta ze złośliwego GOMODPROXY, mógł obejść zamierzoną sumę kontrolną. Teraz zapewniono, że golang.org/toolchain zawsze pobiera kanoniczną sumę kontrolną z sieci.
- CVE-2026-42501Wysokie
Złośliwy moduł proxy może wykorzystać lukę w walidacji sum kontrolnych polecenia go, aby obejść walidację bazy danych sum kontrolnych. Dotyczy to użytkowników korzystających z nieufnych modułów proxy lub baz danych sum kontrolnych.
Oryginalny opis (angielski, źródło NVD)
Previously, a user operating inside of a malicious Go project that defines a bogus golang.org/fips140 and operates a malicious GOMODPROXY the user chooses to connect to can serve an arbitrary module in its place. We now unpack the trusted ziphash for the bundled golang.org/fips140 module and construct its entry in the GOMODCACHE such that it can be verified by the toolchain.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS