Go-Toolchain: Lokale Codeausführung durch bösartige Modul-Versionsstrings

Beschreibung

Beim Herunterladen und Bauen von Go-Modulen können bösartige Versionsstrings zu lokaler Codeausführung führen. Auf Systemen mit installiertem Mercurial (hg) kann das Herunterladen von Modulen aus nicht standardmässigen Quellen unerwartete Codeausführung verursachen, da externe VCS-Befehle fehlerhaft konstruiert werden; dies lässt sich auch durch einen bösartigen Versionsstring gegenüber der Toolchain auslösen. Auf Systemen mit installiertem Git können bösartige Versionsstrings einem Angreifer erlauben, beliebige Dateien im Dateisystem zu beschreiben. Der Angriff lässt sich nur auslösen, indem die bösartigen Versionsstrings explizit an die Toolchain übergeben werden; die Nutzung von @latest oder blossen Modulpfaden ist nicht betroffen. CVSS-Basiswert: 7 (Hoch).

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Go (Programmiersprache)

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Microsoft Windows CryptoAPI Spoofing Vulnerability KEV CVE-2020-0601
• CVE-2026-46595 – Authorization Bypass bei fehlkonfigurierten SSH-Servern CVE-2026-46595
• Go – Fehlerhafte Prüfung von Induktionsvariablen führt zu Speicherfehlern CVE-2026-27143
• Fehlerhafte IP-Klassifizierung in Go net/netip bei IPv4-mapped IPv6 CVE-2024-24790
• Go (golang) – Arbitrary Code Execution via go.mod toolchain CVE-2023-39320