Go 1.17.4 のリリースと ssh パッケージのセキュリティ・アップデート

Go 1.17.4 がリリースされた。

Go 1.17.4 and Go 1.16.11 are released

セキュリティ・アップデートはなし。

go1.17.4 (released 2021-12-02) includes fixes to the compiler, linker, runtime, and the go/types, net/http, and time packages. See the Go 1.17.4 milestone on our issue tracker for details.

via Release History - The Go Programming Language

例によって Ubuntu の APT で管理している Go コンパイラは古いので，ダウンロードページからバイナリ（go1.17.4.linux-amd64.tar.gz）を取ってきてインストールすることを強く推奨する。以下は完全手動での作業例。

$ cd /usr/local/src
$ sudo curl -L "https://go.dev/dl/go1.17.4.linux-amd64.tar.gz" -O
$ cd ..
$ sudo unlink go # 以前の Go が入っている場合
$ sudo tar xvf src/go1.17.4.linux-amd64.tar.gz
$ sudo mv go go1.17.4
$ sudo ln -s go1.17.4 go
$ go version # /usr/local/go/bin にパスが通っている場合
go version go1.17.4 linux/amd64

そうそう。 Go のサイトが golang.org から go.dev に完全移行したみたい。今のところは旧サイトから適切にリダイレクトしてくれるけど，ブログのリンクとかボチボチ直さんといかんかねぇ。

ssh パッケージのセキュリティ・アップデート

Go コンパイラのアップデートに先立ち golang.org/x/crypto/ssh パッケージについてセキュリティ・アップデートのアナウンスが出ている。

[security] Vulnerability in golang.org/x/crypto/ssh

CVE-2021-43565

あー。 panic で落ちちゃうのか。そりゃアカンね。

Version v0.0.0-20211202192323-5770296d904e of golang.org/x/crypto fixes a vulnerability in the golang.org/x/crypto/ssh package which allowed unauthenticated clients to cause a panic in SSH servers.

via Vulnerability in golang.org/x/crypto/ssh

（以下未稿）

アップデートは…

アップデートは計画的に。

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN), 9784621300251 (ISBN); 評価

著者のひとりは（あの「バイブル」とも呼ばれる）通称 “K&R” の K のほうである。この本は Go 言語の教科書と言ってもいいだろう。