CVE-2018-6574

Golang के go get कमांड में रिमोट कमांड निष्पादन के लिए शोषण (Exploit)।

परिचय

जब आप go get के माध्यम से कोई पैकेज प्राप्त करते हैं, तो Go को इस तरह डिज़ाइन किया गया है कि वह पैकेज को उससे कोई कोड चलाए बिना बनाता और इंस्टॉल करता है। इसका उद्देश्य यह है कि आप बिना किसी भरोसे के Go पैकेज को सुरक्षित रूप से प्राप्त, बनाया और इंस्टॉल कर सकते हैं। सिद्धांत रूप में, यह Go टूलचेन के लिए एक सरल कार्य प्रतीत होता है, लेकिन वास्तविकता में यह एक वास्तविक चुनौती है। go get बहुत कुछ करता है, जिसमें तृतीय-पक्ष टूल जैसे git और clang को ऐसे तरीकों से शामिल करना शामिल है जो पैकेज कॉन्फ़िगरेशन से अत्यधिक प्रभावित होते हैं। यह सुनिश्चित करना कि ये कॉलिंग सुरक्षित हैं, एक कठिन लड़ाई है जिसे Go ने अभी तक पूरी तरह से नहीं जीता है।

जब cgo सक्षम होता है, तो "go get" के दौरान बिल्ड चरण होस्ट C कंपाइलर, gcc या clang को बुलाता है, और Go स्रोत फ़ाइलों में निर्दिष्ट कंपाइलर फ़्लैग जोड़ता है। और दोनों एक प्लगइन तंत्र का समर्थन करते हैं जिसमें एक शेयर्ड-लाइब्रेरी प्लगइन को कंपाइलर में लोड किया जाता है, जैसा कि कंपाइलर फ़्लैग्स द्वारा निर्देशित किया जाता है। इसका मतलब है कि एक Go पैकेज रिपॉजिटरी में फ़ाइल के साथ-साथ एक Go स्रोत फ़ाइल हो सकती है जो (उदाहरण के लिए) कहती है, जिससे बिल्ड के दौरान आक्रमण प्लगइन होस्ट C कंपाइलर में लोड हो जाता है। और प्लगइन्स होस्ट सिस्टम तक उनकी पहुंच में पूरी तरह से अप्रतिबंधित हैं।