#golang Unicode パッケージの脆弱性

no extension

golang.org/x/text/encoding/unicode パッケージで脆弱性が見つかった模様。

Version v0.3.3 of golang.org/x/text fixes a vulnerability in the golang.org/x/text/encoding/unicode package which could lead to the UTF-16 decoder entering an infinite loop, causing the program to crash or run out of memory.

An attacker could provide a single byte to a UTF16 decoder instantiated with UseBOM or ExpectBOM to trigger an infinite loop if the String function on the Decoder is called, or the Decoder is passed to golang.org/x/text/transform.String.

via [security] Vulnerability in golang.org/x/text/encoding/unicode

というわけで,件のパッケージを使って UTF-16 符号化・復号化の操作を行っている場合は最新バージョンのパッケージに差し替えること。 とりあえず go.mod ファイルを見て

require golang.org/x/text v0.3.2

とか v0.3.3 未満になっている場合は

require golang.org/x/text latest

と最新版に書き換えてコンパイルし直せばいいだろう。

CVE-2020-14040

未稿。

参考図書

photo
プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES)
Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田 芳樹 (翻訳)
丸善出版 2016-06-20
単行本(ソフトカバー)
4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN), 9784621300251 (ISBN)
評価     

著者のひとりは(あの「バイブル」とも呼ばれる)通称 “K&R” の K のほうである。この本は Go 言語の教科書と言ってもいいだろう。

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)