開発言語「Go」に複数脆弱性 - 重要度「クリティカル」も

プログラミング言語「Go」の開発チームは、2月10日にセキュリティアップデートとなる「Go 1.17.7」「同1.16.14」をリリースした。

今回のアップデートは、3件の脆弱性に対処したもの。「CVE-2022-23806」は、関数「Curve.IsOnCurve」において明らかとなった脆弱性で、誤った真偽値を戻すおそれがあるという。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「9.1」、重要度を「クリティカル（Critical）」と評価している。

またオーバーフローによりメモリを浪費するおそれがある「CVE-2022-23772」や、バージョンタグのように見えるブランチ名を誤って解釈する脆弱性「CVE-2022-23773」が明らかとなった。いずれもCVSS基本値は「7.5」、重要度は「高（High）」とレーティングされている。

（Security NEXT - 2022/02/24 ）ツイート