分享每一天-【Golang版本更新】Go 1.18.4 和 Go 1.17.12 发布

【Golang版本更新】Go 1.18.4 和 Go 1.17.12 发布

GoLang 1785 0 创建时间：2022-07-15 17:50:37

golang 版本更新

#### 【安全】Go 1.18.4 和 Go 1.17.12 发布
这些次要版本包括遵循安全策略的 9 个安全修复程序：

- net/http：传输编码标头的清理不当

- HTTP/1 客户端接受一些无效的传输编码标头，以指示“分块”编码。这可能允许请求走私，但前提是与中间服务器结合使用，该服务器也不正确地未能将标头作为无效拒绝。

- 这是 CVE-2022-1705 和 https://go.dev/issue/53188

- 当 httputil.ReverseProxy.ServeHTTP是使用Request.Header映射调用的，其中包含X-Forwarded-For标头的n值，ReverseProxy将客户端IP设置为X-Forwarded-For标头的值，这与其文档相反。在更常见的情况下，控制器函数将 X-Forwarded-For 标头值设置为 nil，ReverseProxy 将按预期保留标头未修改。

- 这是 https://go.dev/issue/53423 和CVE-2022-32148。

- 感谢Christian Mehlmauer报道这个问题。

- compress/gzip： Reader 中的堆栈耗尽。读取

- 在包含大量串联的 0 长度压缩文件的存档上调用 Reader.Read 可能会由于堆栈耗尽而导致死机。

- 这是 CVE-2022-30631 和 Go 问题 https://go.dev/issue/53168

- encoding/xml：Unmarshal 中的堆栈耗尽

- 将 XML 文档上的 Unmarshal 调用到具有使用字段标记的嵌套字段的 Go 结构中，可能会由于堆栈耗尽而导致恐慌。any

- 这是 CVE-2022-30633 和 Go 问题 https://go.dev/issue/53611

- encoding/xml： Decoder 中的堆栈耗尽。跳过

- 在分析深度嵌套的 XML 文档时调用 Decoder.Skip 可能会导致堆栈耗尽导致死机。

- Go Security团队发现了这个问题，由Mattermost的Juho Nurminen独立报道。

- 这是 CVE-2022-28131 和 Go 问题 https://go.dev/issue/53614

- 编码/gob：解码器中的堆栈耗尽。解码

- 对包含深度嵌套结构的消息调用 Decoder.Decode 可能会由于堆栈耗尽而导致死机。

- 这是 CVE-2022-30635 和 Go 问题 https://go.dev/issue/53615

- 路径/文件路径：Glob 中的堆栈耗尽

- 在包含大量路径分隔符的路径上调用 Glob 可能会由于堆栈耗尽而导致死机。

- 感謝Mattermost的Juho Nurminen報導了這個問題。

- 这是 CVE-2022-30632 和 Go 问题 https://go.dev/issue/53416

- io/fs：Glob 中的堆栈耗尽

- 在包含大量路径分隔符的路径上调用 Glob 可能会由于堆栈耗尽而导致死机。

- 这是 CVE-2022-30630 和 Go 问题 https://go.dev/issue/53415

- go/parser：所有 Parse* 函数中的堆栈耗尽

- 在包含深度嵌套类型或声明的 Go 源代码上调用任何 Parse 函数都可能导致由于堆栈耗尽而导致的恐慌。

- 感謝Mattermost的Juho Nurminen報導了這個問題。

- 这是CVE-2022-1962和Go问题 https://go.dev/issue/53616

有关详细信息，请查看发行说明：
https://go.dev/doc/devel/release#go1.18.4

您可以从Go网站下载二进制和源代码发行版：
https://go.dev/dl/

【Golang版本更新】Go 1.18.4 和 Go 1.17.12 发布

商品推荐

广告推荐

推荐文章