分享每一天-升级 Go 1.20.4 更新版本

升级 Go 1.20.4 更新版本

GoLang 2988 0 创建时间：2023-05-03 12:37:43

升级 Go 1.20.4 更新版本

## 升级 Go 1.20.4 更新版本

北京时间 2023 年 05 月 03 日 Go 团队发布了最新版本 Go 1.20.4 和 Go 1.19.9，距离上一次 Go 安全更新 26 天。

#### Go 1.20.4 主要修复了以下 3 个安全相关的问题：

###### 1. html/template: 对 CSS 值处理不当 (CVE-2023-24539)

当插入到 CSS 上下文中时，尖括号(<>)不被认为是危险字符。包含由'/'字符分隔的多个操作的模板可能导致意外关闭 CSS 上下文，并允许在不受信任的输入下注入意外的 html。

修复的单元测试代码：
```go
# src/html/template/css_test.go#234
func TestCSSValueFilter(t *testing.T) {
    tests := []struct {
    css, want string
  }{
    ...
    {"<", "ZgotmplZ"},
    {">", "ZgotmplZ"},
  }
  for _, test := range tests {
    got := cssValueFilter(test.css)
    if got != test.want {
      t.Errorf("%q: want %q but got %q", test.css, test.want, got)
    }
  }
}
```
我们从中能看到一个有点特别的字符串：“ZgotmplZ”，好奇它是干嘛的？我们一起来看看代码注释。

filterFailsafe 是一个无害的词，由 sanitizer 函数发出来代替不安全的值。它不是任何编程语言中的关键字，不包含特殊字符，也不是空的，当它出现在输出中时，它足够明显，开发人员可以通过搜索引擎找到问题的根源。

###### 2. html/template: JavaScript 空格处理不当（CVE-2023-24540）

并非所有有效的 JavaScript 空白字符都被认为是空白。在 JavaScript 上下文中，包含字符集 "\t\n\f\r\u0020\u2028\u2029" 之外的空白字符的模板，在执行期间可能无法正确清理。

核心代码（替换 js 空格）：
```go

# src/html/template/js.go#19
// jsWhitespace contains all of the JS whitespace characters, as defined
// by the \s character class.
// See https://developer.mozilla.org/en-US/docs/Web/JavaScript/Guide/Regular_expressions/Character_classes.
const jsWhitespace = "\f\n\r\t\v\u0020\u00a0\u1680\u2000\u2001\u2002\u2003\u2004\u2005\u2006\u2007\u2008\u2009\u200a\u2028\u2029\u202f\u205f\u3000\ufeff"
```
###### 3. html/template: 对 HTML 空属性处理不当（CVE-2023-29400）

在未加引号的 HTML 属性中包含动作的模板(例如:"attr={{.}}")在空输入下执行可能会导致在解析 HTML 规范化规则时产生意外结果。这可能允许在标记中注入任意属性。

Go 1.20.4 还修复了 compiler, runtime, crypto/subtle, crypto/tls, net/http, syscall 包的 bug，详细列表如下：

![](https://www.seedblog.cn/uploads/article/2023-05-03/Dkmb6B8T1EfAtv4gOZiVdBoH6kSNK0kiCoJRfp0f.jpg)

###### 原文链接:
https://github.com/golang/go/issues?q=milestone%3AGo1.20.4+label%3ACherryPickApproved

升级 Go 1.20.4 更新版本

商品推荐

广告推荐

推荐文章