Go os.Root: Symlink-Aufloesung ausserhalb des Roots bei abschliessendem Schraegstrich

Beschreibung

Auf Unix-Systemen folgt das Oeffnen einer Datei in einem os.Root faelschlich Symlinks an Orte ausserhalb des Roots, wenn die letzte Pfadkomponente ein symbolischer Link ist und der Pfad auf einen Schraegstrich endet. So oeffnet etwa root.Open("symlink/") das Ziel symlink, selbst wenn dieses ein symbolischer Link ist, der aus dem Root hinauszeigt. CVSS-Basiswert: 7.8 (Hoch).

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Go (Programmiersprache)

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Microsoft Windows CryptoAPI Spoofing Vulnerability KEV CVE-2020-0601
• CVE-2026-46595 – Authorization Bypass bei fehlkonfigurierten SSH-Servern CVE-2026-46595
• Go – Fehlerhafte Prüfung von Induktionsvariablen führt zu Speicherfehlern CVE-2026-27143
• Fehlerhafte IP-Klassifizierung in Go net/netip bei IPv4-mapped IPv6 CVE-2024-24790
• Go (golang) – Arbitrary Code Execution via go.mod toolchain CVE-2023-39320