Go (Programmiersprache) Seite 2

Go-QUIC-Verbindungen setzen beim Lesen von Post-Handshake-Nachrichten keine Obergrenze für gepufferte Daten. Eine bösartige QUIC-Verbindung kann dadurch unbegrenztes Speicherwachstum verursachen. Mit dem Fix akzeptieren Verbindungen konsequent keine Nachrichten mehr, die grösser als 65 KiB sind. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Für Checkmk- und Golang-Produkte wurde eine Sicherheitslücke (CVE-2025-68121) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

In Golang FIPS OpenSSL kann ein böswilliger Nutzer im FIPS-Modus dafür sorgen, dass eine uninitialisierte Puffer-Längenvariable zusammen mit einem genullten Puffer zurückgegeben wird. Die Quellbeschreibung führt darüber hinaus einen weiteren Effekt an, bricht an dieser Stelle jedoch ab. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Unter Linux kann Root.Chmod auf das Ziel eines Symlinks wirken, wenn das Ziel während der laufenden chmod-Operation durch einen Symlink ersetzt wird – selbst dann, wenn das Ziel ausserhalb des Roots liegt. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Go-Standardbibliothek kann tar.Reader eine unbegrenzte Menge Speicher belegen, wenn ein bösartig gestaltetes Archiv mit einer grossen Anzahl im old-GNU-sparse-map-Format kodierter Sparse-Bereiche gelesen wird. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Template-Verarbeitung wurde der Kontext über JS-Template-Literale hinweg nicht korrekt verfolgt, was bei verzweigten Templates zu möglicherweise fehlerhaftem Escaping von Inhalten führen kann. Zudem wurden Template-Aktionen innerhalb von JS-Template-Literalen unzureichend behandelt. Die Ausnutzung ist netzwerkbasiert und erfordert eine Nutzeraktion. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

GoRest, ein Golang-Starterkit auf Basis des Gin-Frameworks für RESTful APIs, enthält in Versionen vor 1.12.2 laut Quellbeschreibung in nMemorySecret2FA eine Race Condition durch eine unsynchronisierte Zugriffsstelle; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 5.9 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.