Go (Programmiersprache)

Ein widerrufener SignatureKey einer Zertifizierungsstelle (CA) wurde zuvor laut NVD nicht korrekt auf seinen Widerruf geprüft. Nun werden sowohl der Schlüssel als auch key.SignatureKey auf einen Widerruf hin überprüft. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 7.3 %.

In .NET verarbeiten die Funktionen ToASCII und ToUnicode laut NVD Punycode-kodierte Labels fehlerhaft: Labels, die zu einem reinen ASCII-Label decodieren, werden fälschlich akzeptiert – so liefert ToUnicode(„xn--example-.com“) irrtümlich den Namen „example.com“. Diese Schwachstelle kann zur Umgehung domänenbasierter Sicherheitsprüfungen missbraucht werden. CVSS-Basiswert: 9.6 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Eine bösartige SSH-Gegenstelle kann unaufgefordert Global-Request-Antworten senden und damit einen internen Puffer vollständig füllen. Dadurch blockiert der Read-Loop der Verbindung, und die blockierte Goroutine lässt sich auch durch Aufruf von Close() nicht freigeben. Dies ermöglicht einem Angreifer einen Denial-of-Service gegen betroffene SSH-Verbindungen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Es wurde eine Schwachstelle gemeldet, bei der beim Hinzufügen eines Schlüssels zu einem Remote-Agent bestimmte Constraint-Extensions nicht serialisiert und in der Anfrage übertragen wurden. Dadurch wurden Zielbeschränkungen (Destination Restrictions) beim Forwarding stillschweigend entfernt, sodass vorgesehene Beschränkungen wirkungslos bleiben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Arithmetische Operationen über Induktionsvariablen in Schleifen wurden nicht korrekt auf Unter- oder Überlauf geprüft. Dadurch liess der Compiler zur Laufzeit ungültige Indizierungen zu, was zu Speicherbeschädigung führen kann. CVSS-Basiswert: 9.8 (Kritisch).

Die Schwachstelle betrifft eine Authorization-Bypass-Problematik im Zusammenhang mit fehlkonfigurierten SSH-Server-Konfigurationen: Wird ein anderer Callback-Typ als Public-Key verwendet, greift die Source-Address-Validierung nicht. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Aufgrund des maximalen CVSS-Werts sollte die Behebung priorisiert geprüft werden.

Beim Schreiben von mehr als 4 GB Daten in einem einzelnen Write-Aufruf auf einem SSH-Channel führt laut NVD ein Integer-Overflow in der internen Berechnung der Payload-Grösse dazu, dass die Schreibschleife endlos läuft und leere Pakete sendet. Dies beeinträchtigt Integrität und Verfügbarkeit. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Der von NewKeyring() zurückgegebene In-Memory-Keyring akzeptiert Schlüssel mit der Constraint ConfirmBeforeUse, erzwingt diese jedoch nicht. Der Schlüssel signiert ohne Bestätigungsabfrage und ohne jeglichen Hinweis, sodass die vorgesehene Schutzmassnahme wirkungslos bleibt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Die Methode Verify() für FIDO/U2F-Sicherheitsschlüssel-Typen (sk-ecdsa-sha2-nistp256@openssh.com, sk-ssh-ed25519@openssh.com) überprüft das User-Presence-Flag nicht. Dadurch können Signaturen, die ohne physische Berührung des Tokens erzeugt wurden, akzeptiert werden. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Fiber ist ein von Express inspiriertes Web-Framework in Go. Vor Version 2.52.11 kann die zugrunde liegende crypto/rand-Implementierung auf Go-Versionen vor 1.24 einen Fehler zurückgeben, wenn keine sichere Zufälligkeit erzeugt werden kann. Da die UUID-Funktionen von Fiber v2 keinen Fehler zurückgeben, kann Anwendungscode unbemerkt auf vorhersagbare, wiederholte oder schwach entropische Bezeichner in sicherheitskritischen Pfaden vertrauen. Besonders kritisch ist dies, weil viele Fiber-v2-Middleware-Komponenten (Session, CSRF, Rate Limiting, Request-ID) standardmässig utils.UUIDv4() verwenden. CVSS-Basiswert: 9.4 (Kritisch). Empfohlene Massnahme: Update auf Version 2.52.11 einspielen.

In der Go-Standardbibliothek liefern die Is-Methoden (IsPrivate, IsLoopback und weitere) für IPv4-mapped IPv6-Adressen falsche Ergebnisse und geben false zurück, wo die entsprechende IPv4-Form true ergaebe. Dadurch können Sicherheitsprüfungen umgangen werden, die auf diesen Methoden beruhen. CVSS-Basiswert: 9.8 (Kritisch).

Die mit Go 1.21 eingeführte toolchain-Direktive in der go.mod kann missbraucht werden, um Skripte und Programme relativ zum Wurzelverzeichnis des Moduls auszuführen, wenn der go-Befehl innerhalb des Moduls ausgeführt wird. Dies betrifft sowohl über den go-Befehl vom Modul-Proxy heruntergeladene Module als auch direkt per VCS-Software bezogene Module. CVSS-Basiswert: 9.8 (Kritisch).

Das Paket net/url der Go-Standardbibliothek begrenzt die Anzahl der Query-Parameter in einer Abfrage nicht. Während die Grösse von Query-Parametern in URLs üblicherweise durch die maximale Request-Header-Grösse begrenzt ist, kann die Methode net/http.Request.ParseForm grosse URL-kodierte Formulare verarbeiten; das Parsen eines grossen Formulars mit vielen eindeutigen Query-Parametern kann zu übermässigem Speicherverbrauch führen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

Bei der Nutzung von LookupCNAME mit dem cgo-DNS-Resolver in Go kann eine sehr lange CNAME-Antwort einen Double-Free von C-Speicher und einen Absturz auslösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

In Go können pathologische Eingaben beim Parsen einer E-Mail-Adresse nach RFC 5322 zu einem Denial of Service über die Funktion consumePhrase führen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Eine aktive Ausnutzung (CISA KEV) ist nicht belegt.

In der Go-Standardbibliothek können präparierte Eingaben, die an ParseAddress, ParseAddressList und ParseDate übergeben werden, zu übermässigem CPU-Verbrauch und Speicherzuweisungen führen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Bei der Verarbeitung von HTTP/2-SETTINGS-Frames gerät der Transport in eine Endlosschleife und schreibt fortlaufend CONTINUATION-Frames, wenn er einen SETTINGS_MAX_FRAME_SIZE mit dem Wert 0 empfängt. Die Schwachstelle ist über das Netzwerk ohne Benutzerinteraktion ausnutzbar und beeinträchtigt die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

Die Funktion url.Parse der Go-Standardbibliothek validierte die Host- bzw. Authority-Komponente unzureichend und akzeptierte dadurch einige ungültige URLs. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Anwendungen, die auf eine strikte URL-Validierung durch url.Parse vertrauen, sollten den Hinweis in den Quelldaten prüfen.

SWIG-Dateinamen mit der Zeichenfolge cgo und passend präparierten Nutzdaten können durch eine Umgehung der Vertrauensebene zum Einschleusen von Code und zur Ausführung beliebigen Codes zur Build-Zeit führen. Betroffen ist die Go-Toolchain. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Sendet eine Seite der TLS-Verbindung mehrere Key-Update-Nachrichten nach dem Handshake in einem einzigen Record, kann die Verbindung in einen Deadlock geraten und unkontrolliert Ressourcen verbrauchen. Dies kann zu einem Denial of Service führen. Betroffen ist ausschliesslich TLS 1.3. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Beim Aufbau von Zertifikatsketten (chain building) wird der Umfang der geleisteten Arbeit nicht korrekt begrenzt, wenn über VerifyOptions.Intermediates eine grosse Zahl von Zwischenzertifikaten übergeben wird, was zu einem Denial of Service führen kann. Betroffen sind sowohl direkte Nutzer von crypto/x509 als auch Nutzer von crypto/tls. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Bei der Prüfung einer Zertifikatskette, die ein Zertifikat mit mehreren E-Mail-Adressbeschränkungen enthält, deren lokale Teile identisch, deren Domänenteile aber unterschiedlich sind, werden diese Beschränkungen nicht korrekt angewendet. Es wird nur die letzte Beschränkung berücksichtigt. Dadurch kann die beabsichtigte Einschränkung umgangen werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Das Bauen einer bösartigen Datei mit cmd/go kann einen Schreibzugriff auf eine vom Angreifer kontrollierte Datei mit teilweiser Kontrolle über den Dateiinhalt verursachen. Die Direktive #cgo pkg-config: in einer Go-Quelldatei übergibt Kommandozeilenargumente an den Go-pkg-config-Befehl. Ein Angreifer kann über diese Direktive ein --log-file-Argument übergeben und so pkg-config dazu bringen, an einen vom Angreifer kontrollierten Ort zu schreiben. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Eine Diskrepanz zwischen der Art, wie Go und C/C++ Kommentare parsen, ermöglichte das Einschmuggeln von Code in das resultierende cgo-Binary. Betroffen sind Anwendungen, die cgo zur Einbindung von C-Code verwenden. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine gepatchte Go-Version aktualisieren.

Die Validierung von Zertifikatsketten mit Policies ist in Go unerwartet ineffizient, wenn Zertifikate in der Kette eine sehr grosse Zahl an Policy-Mappings enthalten. Das kann zu einem Denial of Service führen. Betroffen ist nur die Validierung ansonsten vertrauenswürdiger Zertifikatsketten, die von einer Root-CA im VerifyOptions.Roots-CertPool oder im System-Zertifikatspool ausgestellt wurden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Beim Prüfen einer Zertifikatskette mit ausgeschlossenen DNS-Namensbeschränkungen (excluded DNS constraints) werden diese Beschränkungen nicht korrekt auf Wildcard-DNS-SANs angewendet, die eine andere Gross-/Kleinschreibung als die Beschränkung verwenden. Betroffen ist ausschliesslich die Validierung ansonsten vertrauenswürdiger Zertifikatsketten, die von einer Root-CA im VerifyOptions.Roots-CertPool oder im System-Zertifikatsspeicher ausgestellt wurden. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Rules Engine von Magistrala können authentifizierte Benutzer laut Quelle Regeln mit eingebetteten Go- oder Lua-Skripten anlegen, die serverseitig ausgeführt werden, sobald IoT-Nachrichten eintreffen. Die Go-Skript-Engine (re/golang.go) führt diese Skripte aus. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H – der Angriff erfordert Netzzugriff und niedrige Rechte, aber keine Benutzerinteraktion, und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus.

Der Go-Compiler soll Pointer entpacken, die Operanden einer Speicherverschiebung sind; eine wirkungslose Interface-Konvertierung verhinderte jedoch, dass der Compiler nicht überlappende Verschiebungen korrekt erkennt. Das kann zur Laufzeit zu einer Speicherbeschädigung führen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Auf Unix-Systemen folgt das Oeffnen einer Datei in einem os.Root faelschlich Symlinks an Orte ausserhalb des Roots, wenn die letzte Pfadkomponente ein symbolischer Link ist und der Pfad auf einen Schraegstrich endet. So oeffnet etwa root.Open("symlink/") das Ziel symlink, selbst wenn dieses ein symbolischer Link ist, der aus dem Root hinauszeigt. CVSS-Basiswert: 7.8 (Hoch).

Der TIFF-Decoder in Go kann beim Dekodieren eines ungültigen Bildes mit einem ausserhalb der Grenzen liegenden Strip-Offset in einen Panic-Zustand geraten. Dieser Fehler tritt bei der Verarbeitung speziell präparierter TIFF-Bilddaten auf. CVSS-Basiswert: 7.5 (Hoch).

Die Funktionen Dial und LookupPort der Go-Standardbibliothek geraten unter Windows in eine Panic, wenn die Eingabe ein NUL-Zeichen (0) enthält. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor.

Ein bösartiger Modul-Proxy kann einen Fehler in der Validierung von Modul-Checksummen des go-Kommandos ausnutzen, um die Prüfung gegen die Checksummen-Datenbank zu umgehen. Betroffen sind Nutzer, die einen nicht vertrauenswürdigen Modul-Proxy (GOMODPROXY) oder eine nicht vertrauenswürdige Checksummen-Datenbank (GOSUMDB) verwenden; ein solcher Proxy kann dabei auch veränderte Versionen der Go-Toolchain ausliefern. Ursache ist, dass das go-Kommando eine erfolgreiche, aber leere Antwort der Checksummen-Datenbank fälschlich als gültige Validierung akzeptierte. Da bereits vertraute go.sum-Dateien betroffen sein können, genügt eine Fixierung von GOTOOLCHAIN allein nicht – ein Upgrade der Basis-Go-Toolchain ist erforderlich. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Betroffene Nutzer mit nicht vertrauenswürdigem GOPROXY sollten mit „rm go.sum; go mod tidy; go mod verify“ prüfen, ob sie betroffen sind, und die Go-Toolchain aktualisieren.

Beim Parsen eines WEBP-Bildes mit einer ungültigen, zu grossen Grössenangabe kommt es auf 32-Bit-Plattformen zu einem Panic. Ein Angreifer kann dadurch mit einer präparierten Bilddatei Anwendungen, die diese Go-Funktionalität nutzen, zum Absturz bringen. CVSS-Basiswert: 7.5 (Hoch).

Beim Herunterladen und Bauen von Go-Modulen können bösartige Versionsstrings zu lokaler Codeausführung führen. Auf Systemen mit installiertem Mercurial (hg) kann das Herunterladen von Modulen aus nicht standardmässigen Quellen unerwartete Codeausführung verursachen, da externe VCS-Befehle fehlerhaft konstruiert werden; dies lässt sich auch durch einen bösartigen Versionsstring gegenüber der Toolchain auslösen. Auf Systemen mit installiertem Git können bösartige Versionsstrings einem Angreifer erlauben, beliebige Dateien im Dateisystem zu beschreiben. Der Angriff lässt sich nur auslösen, indem die bösartigen Versionsstrings explizit an die Toolchain übergeben werden; die Nutzung von @latest oder blossen Modulpfaden ist nicht betroffen. CVSS-Basiswert: 7 (Hoch).

Beim Aufbau der Fehlermeldung in HostnameError.Error() begrenzt Go die Anzahl der ausgegebenen Hostnamen nicht, zudem wird die Fehlermeldung durch wiederholte String-Konkatenation erzeugt, was zu quadratischer Laufzeit führt. Ein von einem Angreifer bereitgestelltes Zertifikat kann dadurch übermässigen Ressourcenverbrauch verursachen. CVSS-Basiswert: 7.5 (Hoch).

Laut Quellenangabe skaliert die Verarbeitungszeit beim Parsen bestimmter ungültiger Eingaben nicht-linear mit der Eingabegrösse. Betroffen sind Programme, die nicht vertrauenswürdige PEM-Eingaben verarbeiten, was zu einem Denial-of-Service führen kann. CVSS-Basiswert: 7.5 (Hoch).

Durch das Design des Algorithmus zur Prüfung von Name Constraints skaliert die Verarbeitungszeit bestimmter Eingaben nicht-linear mit der Grösse des Zertifikats. Betroffen sind laut NVD Programme, die beliebige Zertifikatsketten validieren. CVSS-Basiswert: 7.5 (Hoch). Zu einer verfügbaren Fehlerbehebung liegen in den Quelldaten keine Angaben vor.

Beim Validieren von Zertifikatsketten, die DSA-Public-Keys enthalten, kann es in Go-Programmen zu einem Absturz (Panic) kommen. Ursache ist ein Interface-Cast, der fälschlich annimmt, dass die Equal-Methode implementiert ist. Betroffen sind Programme, die beliebige Zertifikatsketten validieren. CVSS-Basiswert: 7.5 (Hoch).

Wird laut NVD eine Datenbankabfrage während eines Aufrufs der Scan-Methode der zurückgegebenen Rows abgebrochen (etwa durch Abbruch des übergebenen Kontexts), können bei parallel laufenden Abfragen unerwartete Ergebnisse entstehen. Es kann zu einer Race Condition kommen, die erwartete Ergebnisse mit denen einer anderen Abfrage überschreibt, sodass Scan entweder unerwartete Ergebnisse einer anderen Abfrage oder einen Fehler zurückgibt. CVSS-Basiswert: 7.0 (Hoch).

Das go-Kommando kann unerwartete Befehle ausführen, wenn es in nicht vertrauenswürdigen VCS-Repositories arbeitet. Dies tritt auf, wenn potenziell gefährliche VCS-Konfigurationen in Repositories vorhanden sind, etwa wenn ein Repository über ein VCS (z. B. Git) bezogen wurde, aber Metadaten für ein anderes VCS (z. B. Mercurial) enthält. Über die Kommandozeile mit go get bezogene Module sind nicht betroffen. CVSS-Basiswert: 8.6 (Hoch).

dp-golang ist ein Puppet-Modul für Go-Installationen. Vor Version 1.2.7 konnte dp-golang Dateien, einschliesslich der Compiler-Binärdatei, mit falschen Besitzrechten installieren, wenn Puppet als root ausgeführt wurde. Betroffen sind auf macOS die Go-Versionen 1.4.3 bis 1.21rc3 sowie die Bootstrap-Archive go1.4-bootstrap-20170518.tar.gz und go1.4-bootstrap-20170531.tar.gz; der in Puppet-Code angegebene Benutzer und die Gruppe wurden für Dateien innerhalb des Archivs ignoriert. Ab Version 1.2.7 erstellt dp-golang Installationen neu, wenn Besitzer oder Gruppe einer Datei oder eines Verzeichnisses nicht dem angeforderten Wert entsprechen. CVSS-Basiswert: 7.3 (Hoch).

Beim Abrufen eines Moduls mit dem Suffix „.git“ über go get kann laut NVD unerwartet ein Rückfall auf das unsichere Protokoll git:// erfolgen, wenn das Modul weder über https:// noch über git+ssh:// verfügbar ist – selbst wenn GOINSECURE für dieses Modul nicht gesetzt ist. Betroffen sind nur Nutzer, die den Modul-Proxy nicht verwenden und Module direkt beziehen (GOPROXY=off). CVSS-Basiswert: 7.5 (Hoch).

Vor Go 1.20 nutzten RSA-basierte TLS-Schlüsselaustausche die math/big-Bibliothek, die nicht in konstanter Zeit arbeitet. Zum Schutz vor Timing-Angriffen wurde RSA-Blinding eingesetzt, das laut Analyse jedoch nicht vollständig wirksam war; insbesondere kann das Entfernen des PKCS#1-Paddings Timing-Informationen preisgeben, die zur Rekonstruktion von Sitzungsschlüssel-Bits genutzt werden könnten. Seit Go 1.20 verwendet crypto/tls eine vollständig konstante RSA-Implementierung, die nach aktuellem Kenntnisstand keine derartigen Timing-Seitenkanäle aufweist. CVSS-Basiswert: 7.5 (Hoch).

Das Go-Paket filepath erkennt Pfade mit einem \??\-Prefix nicht als besonders und kann dadurch beim Aufruf von Clean oder Join einen scheinbar harmlosen Pfad in einen Root Local Device Path umwandeln, der unter Windows äquivalent zu einem Pfad mit \\?\-Prefix ist und auf beliebige Systemorte zugreifen kann. Eine Zwischenversion der Korrektur hat die Erkennung von \?-Pfaden vorübergehend fehlerhaft verändert; dies wurde in Go 1.20.11 und 1.21.4 wieder korrigiert. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

pkg/suci/suci.go in free5GC udm vor Version 1.2.0 erlaubt bei Verwendung von Go vor Version 1.19 einen Invalid-Curve-Angriff, weil ein gemeinsames Geheimnis über einen unkomprimierten öffentlichen Schlüssel berechnet werden kann, der nicht validiert wurde. Ein Angreifer kann dem UDM beliebige SUCIs senden, die dieses sowohl mit seinem eigenen privaten Schlüssel als auch mit dem öffentlichen Schlüssel des Angreifers zu entschlüsseln versucht. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Ein bösartiger HTTP/2-Client kann laut Quelle durch schnelles Erstellen von Requests und deren sofortigen Reset einen übermässigen Ressourcenverbrauch auf dem Server verursachen. Zwar begrenzt die Einstellung http2.Server.MaxConcurrentStreams die Gesamtzahl der Requests, doch das Zurücksetzen eines laufenden Requests erlaubt es dem Angreifer, während die bestehende Anfrage noch bearbeitet wird, eine neue zu erstellen. Mit dem Fix begrenzen HTTP/2-Server die Zahl gleichzeitig ausgeführter Handler-Goroutinen auf das Stream-Concurrency-Limit; wächst die Warteschlange neuer Requests zu stark, beendet der Server die Verbindung. Der Fix betrifft auch golang.org/x/net/http2 bei manueller HTTP/2-Konfiguration. CVSS-Basiswert: 7.5 (Hoch).

In Go lassen sich über line-Direktiven die Beschränkungen für cgo-Direktiven umgehen, sodass blockierte Linker- und Compiler-Flags während der Kompilierung übergeben werden können. Dies kann beim Ausführen von go build zu unerwarteter Ausführung beliebigen Codes führen. CVSS-Basiswert: 8.1 (Hoch).

Die Verarbeitung einer unvollständigen Post-Handshake-Nachricht bei einer QUIC-Verbindung kann laut NVD in Go einen Panic auslösen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.