https://www.redhotcyber.com/post/il-bug-di-sicurezza-di-parsethru-minaccia-le-applicazioni-di-golang/

  • Samueleex, Giulio_M e Vladimir hanno messo mi piace.
  • Giulio_M ha risposto a questo messaggio
  • Vladimir non lo conoscevo, questo malware sfrutta le vulnerabilità del linguaggio Go. Da fare una precisazione:

    It is often referred to as Golang because of its former domain name, golang.org, but its proper name is Go

    Secondo la fonte, la vulnerabilità si basa su questo:

    Gli esperti attribuiscono la vulnerabilità alle incongruenze che sorgono a causa dei cambiamenti nella logica di analisi degli URL in Golang, implementata nella libreria “net/url”.
    Gli esperti lo spiegano dicendo che fino alla versione 1.17, Golang considerava il punto e virgola un separatore di query valido (ad esempio, example.com?a=1;b=2&c=3). Tuttavia, questo comportamento è stato modificato nelle versioni successive per visualizzare un errore se è presente un punto e virgola nella stringa di query.
    Pertanto, un utente malintenzionato può inviare segretamente richieste con parametri che normalmente dovrebbero essere rifiutati.
    In poche parole, l’hacker deve inviare richieste contenenti un punto e virgola.

    Tuttavia, con gli attuali aggiornamenti il problema è stato risolto. L'attuale versione di Go è 1.17.2 e questo problema esisteva fino alla versione 1.17.

    Vladimir non lo conoscevo, questo malware sfrutta le vulnerabilità del linguaggio Go. Da fare una precisazione:

    It is often referred to as Golang because of its former domain name, golang.org, but its proper name is Go

    Secondo la fonte, la vulnerabilità si basa su questo:

    Gli esperti attribuiscono la vulnerabilità alle incongruenze che sorgono a causa dei cambiamenti nella logica di analisi degli URL in Golang, implementata nella libreria “net/url”.
    Gli esperti lo spiegano dicendo che fino alla versione 1.17, Golang considerava il punto e virgola un separatore di query valido (ad esempio, example.com?a=1;b=2&c=3). Tuttavia, questo comportamento è stato modificato nelle versioni successive per visualizzare un errore se è presente un punto e virgola nella stringa di query.
    Pertanto, un utente malintenzionato può inviare segretamente richieste con parametri che normalmente dovrebbero essere rifiutati.
    In poche parole, l’hacker deve inviare richieste contenenti un punto e virgola.

    Tuttavia, con gli attuali aggiornamenti il problema è stato risolto. L'attuale versione di Go è 1.17.2 e questo problema esisteva fino alla versione 1.17.

    Powered by: FreeFlarum.
    (remove this footer)