1月,谷歌工程师修复了Go语言(Golang)中的一个远程代码执行漏洞。该漏洞CVE编号为CVE-2021-3115,漏洞主要影响使用go get命令的Windows Go用户。
非可信目录路径查找RCE
该漏洞是由日本安全研究人员RyotaK发现的,属于命令注入漏洞。漏洞产生的根本原因是用户运行go get命令来提取库时编译过程的工作原理造成的。
在Windows 系统中,用户或程序运行的操作系统shell命令会引发shell 在当前目录中搜索与该命令有关的二进制文件或可执行文件,然后在系统PATH变量中指定一个目录列表。
比如,如果在Windows 命令窗口输入netstat,Windows就会在当前目录中搜索netstat.exe、netstat.bat或其他netstat.*可执行文件,这些搜索到的文件会优先执行。
测试Windows PATH查找
如果当前目录中不存在netstat 相关的可执行文件,那么Windows shell就会查找netstat 系统工具,该系统工具位于 Windows %PATH% 变量中。
由于与该行为相关的安全风险,Windows PowerShell和Unix shell在执行命令时都已经放弃了该默认行为,开始优先处理非可信当前目录上的%PATH% 变量位置。
也就是说,在PowerShell 中运行netstat 会启动netstat系统工具,而不是本地的netstat.bat,因为PoweShell 会优先在%PATH% 目录中搜索包含该名字的二进制文件。
为了保持一致性,Golang 二进制文件在Unix 系统中效仿了Unix 规则,在Windows 系统中效仿了Windows 规则。也就是说,运行下面的命令在Unix系统和Windows 系统中会产生不同的行为:
- out, err := exec.Command("go", "version").CombinedOutput()
在Windows 系统中,本地的Go二进制文件优先级高,而Unix 系统中会首先搜索$PATH 变量来确认其可信位置中是否存在go 二进制文件。
这种优先本地、非可信目录的方法也在Go helper和编译器中实现了,比如为调用C语言代码生成Go包的工具——cgo。
Cgo在Windows系统中编译C代码时,Golang可执行文件首先会在非可信的本地目录中搜索GCC编译器。Cgo运行的go命令会包含包资源。因此,攻击者可以利用cgo来启动恶意的gcc.exe程序。
虽然该行为可能是由多个编译器、库等造成的,但是Golang Project决定修复该漏洞,并已经发布了补丁。
总结
研究人员RyotaK 称该漏洞的发现是受CVE-2020-27955漏洞启发,CVE-2020-27955是Git LFS中的命令注入漏洞,该漏洞是由于不安全的文件执行引发的Git LFS远程代码执行漏洞。
研究人员建议用户升级到最新的Go v1.14.14版本来避免该漏洞的利用。
本文翻译自:https://www.bleepingcomputer.com/news/security/google-fixes-severe-golang-windows-rce-vulnerability/如若转载,请注明原文地址。
在加密货币世界里,交易是核心,交易的载体,是加密货币交易对。那一个加密货币...
近日,比特币暴跌25%... 2010年5月22日,一位名为拉斯洛汉耶茨(Laszlo Hanyecz)...
为什么比特币屡经打压反而愈发健壮?为什么世界上最聪明的投资者都在配置比特币?...
2020年,新冠疫情给安全部门制造了困难。勒索软件攻击在增加。远程工作被迫中断...
如今,很多组织的员工都在家远程工作。很显然,人们在短时间内难以回到在企业办...
随着比特币创下新高,其市值有史以来首次突破1万亿美元。据全球排名数据AssetDas...
研究人员警告说,这个新的僵尸网络通过使用Mirai恶意软件框架,以大量的Android...
即便DeFi应用大爆发,琳琅满目的应用们仍然没有解决最关键的问题出圈。 何谓出圈...
比特币距离5万美元的新高仅一步之遥的突然回落令许多投资者感到意外。下面是可能...
在芯片紧缺的时候,高通芯片曝出了0day漏洞,这无疑是雪上加霜。 3月23日,谷歌...