CVE-2026-94447
NieznaneStreszczenie
Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy wpis golang.org/toolchain w go.sum i korzysta ze złośliwego GOMODPROXY, mógł obejść zamierzoną sumę kontrolną. Teraz zapewniono, że golang.org/toolchain zawsze pobiera kanoniczną sumę kontrolną z sieci.
Ocena ryzyka
Obejście weryfikacji sumy kontrolnej pozwala na dostarczenie złośliwego łańcucha narzędzi Go, co może prowadzić do wykonania dowolnego kodu w środowisku budowania.
Rekomendacja
Zaktualizuj łańcuch narzędzi Go do wersji zawierającej poprawkę i unikaj używania niezaufanych GOMODPROXY.
Inne podatności w Go toolchain
Zobacz wszystkie- CVE-2026-94444Nieznane
Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy golang.org/fips140 i korzysta ze złośliwego GOMODPROXY, mógł otrzymać dowolny moduł w jego miejsce. Teraz rozpakowywany jest zaufany ziphash dla dołączonego modułu golang.org/fips140 i tworzony jest jego wpis w GOMODCACHE, aby mógł być zweryfikowany przez łańcuch narzędzi.
- CVE-2026-42501Wysokie
Złośliwy moduł proxy może wykorzystać lukę w walidacji sum kontrolnych polecenia go, aby obejść walidację bazy danych sum kontrolnych. Dotyczy to użytkowników korzystających z nieufnych modułów proxy lub baz danych sum kontrolnych.
Oryginalny opis (angielski, źródło NVD)
Previously, a user operating inside of a malicious Go project that defines a bogus golang.org/toolchain go.sum entry and operates a malicious GOMODPROXY the user chooses to use can bypass the intended checksum. We now ensure that golang.org/toolchain always goes to the network for the canonical checksum.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS