Go filepath-Paket: \??\-Pfade werden nicht als Root Local Device Path erkannt

Beschreibung

Das Go-Paket filepath erkennt Pfade mit einem \??\-Prefix nicht als besonders und kann dadurch beim Aufruf von Clean oder Join einen scheinbar harmlosen Pfad in einen Root Local Device Path umwandeln, der unter Windows äquivalent zu einem Pfad mit \\?\-Prefix ist und auf beliebige Systemorte zugreifen kann. Eine Zwischenversion der Korrektur hat die Erkennung von \?-Pfaden vorübergehend fehlerhaft verändert; dies wurde in Go 1.20.11 und 1.21.4 wieder korrigiert. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Go (Programmiersprache)

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Microsoft Windows CryptoAPI Spoofing Vulnerability KEV CVE-2020-0601
• CVE-2026-46595 – Authorization Bypass bei fehlkonfigurierten SSH-Servern CVE-2026-46595
• Go – Fehlerhafte Prüfung von Induktionsvariablen führt zu Speicherfehlern CVE-2026-27143
• Fehlerhafte IP-Klassifizierung in Go net/netip bei IPv4-mapped IPv6 CVE-2024-24790
• Go (golang) – Arbitrary Code Execution via go.mod toolchain CVE-2023-39320