Go में dsa.Verify का शोषण (CVE-2019-17596)

कृपया विस्तृत जानकारी के लिए संबद्ध ब्लॉग पोस्ट देखें।

चलाना

चूँकि Go के 1.13.1 से नए संस्करण पैच किए गए हैं, मैंने एक Dockerfile शामिल किया है, जो आपके Go संस्करण को फिक्स करना आसान बनाता है। बस Docker build चलाएँ:

docker build .

दो फ़ाइलें दिलचस्प हैं:

• dsa_test.go: इसमें dsa.Verify को पैनिक कराने का एक परीक्षण मामला है।
• ssh_test.go: इसमें एक दुष्ट SSH होस्ट की के माध्यम से crypto/ssh.Client को पैनिक कराने का परीक्षण मामला है।

सुधार, बग, फीचर जोड़ना, आदि:

विचारों, बगों और सामान्य सुझावों के लिए कृपया Github में issues खोलें। पुल रिक्वेस्ट का स्वागत है :)

लाइसेंस

poc-dsa-verify-CVE-2019-17596 Apache License, Version 2.0 के तहत लाइसेंस प्राप्त है।