2022-2220: Google Go (golang): Mehrere Schwachstellen ermöglichen u. a. Denial-of-Service-Angriffe

Historie:

Version 1 (2022-10-07 17:06): Neues Advisory
Version 2 (2022-10-20 10:39): Für SUSE Linux Enterprise Desktop 15 SP3 und 15 SP4, SUSE Linux Enterprise High Performance Computing 15 SP3 und 15 SP4, SUSE Linux Enterprise Module for Development Tools 15 SP3 und 15 SP4, SUSE Linux Enterprise Server 15 SP3 und 15 SP4, SUSE Linux Enterprise Server for SAP Applications 15 SP3 und 15 SP4, SUSE Linux Enterprise Storage 7.1, SUSE Manager Proxy 4.2 und 4.3, SUSE Manager Retail Branch Server 4.2 und 4.3, SUSE Manager Server 4.2 und 4.3 sowie für openSUSE Leap 15.3 und openSUSE Leap 15.4 stehen jeweils Sicherheitsupdates für 'go1.18' auf Version 1.18.7 und 'go1.19' auf Version 1.19.2 bereit, um die referenzierten Schwachstellen und einen weiteren, nicht sicherheitsrelevanten Fehler zu beheben.
Version 3 (2023-01-24 12:56): Für Red Hat Enterprise Linux 9 (x86_64, aarch64) und Oracle Linux 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'go-toolset' und 'golang' bereit, um die Schwachstellen zu beheben.
Version 4 (2023-01-25 14:27): Für Red Hat Developer Tools (for RHEL Workstation) 1 (x86_64) und Red Hat Developer Tools (for RHEL Server) 1 (x86_64) stehen Sicherheitsupdates für 'go-toolset-1.18' und 'go-toolset-1.18-golang' und für Red Hat Enterprise Linux for x86_64 / ARM 64 8 (x86_64, aarch64) stehen Sicherheitsupdates für das Modul 'go-toolset:rhel8' bereit, um die Schwachstellen zu beheben.
Version 5 (2023-01-27 09:20): Für Oracle Linux 8 (x86_64, aarch64) stehen Sicherheitsupdates für das Modul 'go-toolset:rhel8' bereit, um die Schwachstellen zu beheben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein Angreifer kann eine Schwachstelle aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen. Zudem kann ein Angreifer kann zwei Schwachstellen lokal ausnutzen, um verschiedene Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers.

Für Fedora 36 stehen mit dem Paket 'golang-1.18.7-1.fc36' ein Sicherheitsupdate bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2022-2879

Schwachstelle in Go ermöglicht Denial-of-Service-Angriff

CVE-2022-2880

Schwachstelle in Go ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-41715