Sai sót xác minh trong Go toolchain cmd/go và golang.org/x/mod/sumdb có thể che giấu module độc hại

Một GOSUMDB độc hại có khả năng cung cấp nội dung module tùy ý không nằm trong transparency log. Kiểu tấn công này cho phép một GOPROXY và GOSUMDB phối hợp cung cấp cho client nội dung module độc hại mà không thể bị phát hiện bằng cách đánh giá transparency log. Để xác định bạn có bị ảnh hưởng hay không: rm -r go.sum go.work.sum vendor/ && go mod tidy

• Go toolchain cmd/go: bị ảnh hưởng từ phiên bản 0 đến trước 1.25.13.
• Go toolchain cmd/go: bị ảnh hưởng từ 1.26.0-0 đến trước 1.26.6.
• Go toolchain cmd/go: bị ảnh hưởng từ 1.27.0-0 đến trước 1.27.0-rc.3.
• golang.org/x/mod/sumdb: bị ảnh hưởng ở các phiên bản trước 0.40.0; bản ghi chỉ rõ symbol Client.Lookup.

Các mốc trên là ranh giới theo từng nhánh được dữ liệu hỗ trợ. Không nên suy ra trạng thái của một nhánh song song hoặc phiên bản không được liệt kê chỉ từ việc một nhánh khác đã có bản sửa.

Lỗ hổng nằm trong đường dẫn tra cứu của golang.org/x/mod/sumdb, bao gồm Client.Lookup, được cmd/go sử dụng. Lỗi được phân loại là CWE-347, tức xác minh không đúng chữ ký hoặc bằng chứng mật mã. Một GOSUMDB độc hại có thể trả về nội dung module tùy ý không tồn tại trong transparency log; khi phối hợp với một GOPROXY do kẻ tấn công kiểm soát hoặc điều phối, nội dung module độc hại có thể được cung cấp cho client mà không bị phát hiện khi đánh giá transparency log. Tài liệu hiện có không mô tả chi tiết thông điệp giao thức hoặc điều kiện ở mức parser khiến các hash không liên quan và chưa được xác thực vượt qua kiểm tra. Phạm vi cần kiểm tra gồm cả cmd/go tích hợp trong Go toolchain và các môi trường sử dụng trực tiếp golang.org/x/mod/sumdb.

Đường tấn công được mô tả là truy cập qua mạng, trong đó client nhận dữ liệu module từ một GOPROXY và GOSUMDB phối hợp với nhau. Metadata của bản ghi cho biết cuộc tấn công có độ phức tạp thấp, không yêu cầu quyền đặc biệt và không yêu cầu tương tác của người dùng. Điều kiện phối hợp giữa hai dịch vụ này là đặc điểm quan trọng của kịch bản, nhưng bằng chứng không mô tả cách triển khai cụ thể của các dịch vụ đó. Bản ghi được cung cấp không xác định exploit công khai hoặc trạng thái đã bị khai thác; cũng không nêu campaign, nạn nhân hay chỉ dấu xâm nhập cụ thể.

Kết quả kỹ thuật chính là client có thể nhận module content tùy ý nằm ngoài tập nội dung được transparency log ghi nhận, khiến việc dựa vào log để xác minh nguồn gốc dependency không còn đáng tin cậy. Hậu quả tổ chức có thể là suy giảm tính toàn vẹn của quy trình dependency và rủi ro đưa nội dung không mong muốn vào build hoặc artifact. Metadata của bản ghi mô tả đường tấn công không yêu cầu quyền đặc biệt hay tương tác người dùng và không xác định một yêu cầu đặc quyền bổ sung ở phía client. Bản ghi không xác lập việc thực thi payload, leo thang đặc quyền, mất dữ liệu hoặc gián đoạn dịch vụ trong một môi trường cụ thể.

Lỗ hổng làm suy yếu độ tin cậy của quy trình lấy dependency, vì client có thể nhận nội dung module do kẻ tấn công kiểm soát dù nội dung đó không được ghi trong transparency log. Nếu nội dung này được đưa vào quy trình build hoặc phát hành, nó có thể làm suy giảm niềm tin vào nguồn gốc dependency và tính đáng tin cậy của artifact. Việc nội dung độc hại có được biên dịch, thực thi hoặc lan truyền sang artifact hay không phụ thuộc vào cách môi trường sử dụng module đó và chưa được xác lập trong bản ghi. Không có nạn nhân, payload, vụ xâm nhập hay mất dữ liệu cụ thể nào được nêu.

1. Nâng cmd/go lên bản sửa tương ứng với nhánh đang sử dụng: 1.25.13, 1.26.6 hoặc 1.27.0-rc.3. Đây là các mốc sửa cụ thể được dữ liệu hỗ trợ; không chuyển chúng thành một khoảng mở cho mọi phiên bản sau đó.
2. Nếu ứng dụng sử dụng trực tiếp module này, nâng golang.org/x/mod/sumdb lên v0.40.0.
3. Với mã hoặc toolchain có vendored x/mod, cập nhật bản vendored theo bản sửa của Go toolchain thay vì chỉ thay đổi dependency trực tiếp trong một module không được sử dụng.
4. Sau khi cập nhật, tái tạo và xem xét lại module metadata bằng phép kiểm tra rm -r go.sum go.work.sum vendor/ && go mod tidy trong checkout có thể khôi phục. Vì lệnh xóa các tệp và thư mục nêu trên, cần lưu giữ bản sao trước khi chạy.
5. Nếu phép kiểm tra cho thấy dependency hoặc checksum thay đổi bất ngờ, cô lập kết quả và đối chiếu với một baseline hoặc nguồn module đáng tin cậy trước khi tiếp tục build.

1. Kiểm kê phiên bản Go toolchain đang được cài đặt, đặc biệt các nhánh cmd/go được liệt kê trong phạm vi ảnh hưởng.
2. Kiểm tra dependency graph, module cache và thư mục vendor để xác định việc sử dụng golang.org/x/mod/sumdb hoặc Client.Lookup.
3. Trong một checkout sạch hoặc bản sao có thể khôi phục, chạy đúng phép kiểm tra do Go cung cấp: rm -r go.sum go.work.sum vendor/ && go mod tidy. Lệnh này xóa các tệp và thư mục nêu trên, vì vậy cần bảo toàn bản sao trước khi thực hiện.
4. Đối chiếu các thay đổi module và checksum sau khi tái tạo với baseline đáng tin cậy, đặc biệt nếu dependency graph thay đổi bất thường.
5. Bản ghi không cung cấp IOC hoặc log event cụ thể. Việc không thấy log phù hợp không chứng minh môi trường an toàn; monitoring bổ sung chỉ nên được xem là biện pháp phòng ngừa.