分享每一天-【golang】Go 1.20.5 主要修复了安全几个问题

【golang】Go 1.20.5 主要修复了安全几个问题

GoLang 1872 0 创建时间：2023-06-09 10:38:44

golang更新版本

北京时间 2023 年 06 月 07 日 Go 团队发布了最新版本 Go 1.20.5 和 Go 1.19.10，距离上一次 Go 安全更新 **35** 天。
 
## Go 1.20.5 主要修复了安全几个问题：

Security: Includes security fixes for **SUID binaries** (CVE-2023-29403) and **cgo** (CVE-2023-29402, CVE-2023-29404, CVE-2023-29405)

#### **1\.** **cmd/go: cgo 代码注入**

在使用 cgo 时，go 命令可能会在构建时生成意外代码。这可能会导致在运行使用 cgo 的 go 程序时出现意外行为。

当运行不受信任的模块，其中包含名称中带有换行字符的目录时，可能会发生这种情况。使用 go 命令检索的模块，即通过 “go get”，不受影响（使用 GOPATH 模式检索的模块，即 GO111MODULE=off，可能会受到影响）。

感谢 Mattermost 的 Juho Nurminen 报告这个问题。

#### **2\. runtime: **setuid/setgid 二进制文件的意外行为****

当二进制文件设置了 setuid/setgid 位时，Go 运行时的行为没有任何不同。在Unix 平台上，如果在关闭标准 I/O 文件描述符的情况下执行 setuid/setgid 二进制文件，那么打开任何文件都可能导致以提升的权限读取/写入意外内容。类似地，如果 setuid/setgid 程序通过 panic 或信号终止，它可能会泄漏其寄存器的内容。

修复说明：

在 Unix 平台上，以前当程序被设置了 SUID 或 SGID 位时，运行时不会执行任何特殊操作。在某些情况下，这可能是危险的，例如在转储内存状态或假设标准 I/O 文件描述符的状态时。

受 glibc 的启发，此更改实现了一组保护措施，当二进制文件以 SUID 或 SGID 位设置（或类似于 SUID/SGID）时运行。在 Linux 上，是否启用这些保护措施取决于是否在辅助向量中传递了 AT\_SECURE 标志。对于具有 issetugid 系统调用的平台（BSD、Darwin 和 Solaris/Illumos），使用该系统调用。对于其余平台（目前仅限 AIX），我们检查 !(getuid() == geteuid() && getgid == getegid() )。

当前，当我们确定一个二进制文件是"tainted"（使用 glibc 的术语）时，我们实施两个特定的保护措施：

1.  我们检查文件描述符 0、1 和 2 是否打开，如果没有，我们会打开它们，指向 /dev/null（或失败）。
    
2.  我们强制 GOTRACKBACK=none，并通常防止在程序出现 panic/abort 时转储trackback 和寄存器。

未来我们可能会添加其他保护措施。

此更改需要在支持它的平台上实现 issetugid，并在 AIX 上实现 getuid、geteuid、getgid 和 getegid。

感谢 Synacktiv 的 Vincent Dehors 报告了这个问题。

**3. cmd/go: LDFLAGS 处理不当**

在使用 go 时，go 命令可以在构建时执行任意代码。当在恶意模块上运行 “go get” 或运行任何其他构建不受信任代码的命令时，可能会发生这种情况。这可以通过链接器标志触发，通过 “#cgo LDFLAGS” 指令指定。

Ian 补充：由于一个不幸的错误，会导致在使用 -compiler=gccgo 时中断 "#cgo LDFLAGS" 指令。大多数人使用 gccgo 或 GoLLVM 的人使用随着这些工具一起分发的 cmd/go 不会受到影响。因此，我们将在下一个小版本中修复这个问题。不幸的是，在使用 gccgo 或 GoLLVM 时，当前的次要版本1.20.5和1.19.10 在某些情况下会被破坏。我们为这次事故道歉。

感谢 Jeffrey Tolar 发现了这个问题。

Go 1.20.5 还修复了一些 bug，详情如下：

https://github.com/golang/go/issues?q=milestone%3AGo1.20.5+label%3ACherryPickApproved

【golang】Go 1.20.5 主要修复了安全几个问题

商品推荐

广告推荐

推荐文章