CVE-2026-27143

Błąd arytmetyczny w kompilatorze Golang Go prowadzący do uszkodzenia pamięci

CVSS 9.8v3.1pub. 2026-04-08upd. 2026-04-16

Kompilator języka Go nieprawidłowo weryfikował przepełnienie i niedomiar arytmetyki na zmiennych indukcyjnych w pętlach, co może skutkować uszkodzeniem pamięci w czasie wykonania programu. Podatność ma charakter krytyczny, ponieważ może być wykorzystana bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Arithmetic over induction variables in loops were not correctly checked for underflow or overflow. As a result, the compiler would allow for invalid indexing to occur at runtime, potentially leading to memory corruption.

🤖 Analiza AI

Jak działa

W trakcie kompilacji kodu Go, operacje arytmetyczne wykonywane na zmiennych indukcyjnych (sterujących iteracją pętli) nie były poprawnie sprawdzane pod kątem przepełnienia (overflow) i niedomiaru (underflow). W konsekwencji wygenerowany przez kompilator kod maszynowy dopuszczał nieprawidłowe indeksowanie pamięci w czasie wykonania. Prowadziło to do dostępu do obszarów pamięci poza dozwolonymi granicami, co stanowi klasyczną formę memory corruption.

Skutki

Atakujący może doprowadzić do uszkodzenia pamięci procesu, co w zależności od kontekstu aplikacji może umożliwić wykonanie dowolnego kodu (RCE), ujawnienie poufnych danych lub destabilizację działania systemu.

Mitygacja

Należy zaktualizować kompilator Golang Go do wersji zawierającej poprawkę opisaną w change liście go.dev/cl/763765 oraz ponownie skompilować wszystkie aplikacje Go przy użyciu poprawionego kompilatora. Szczegółowe informacje o wersjach patcha dostępne są w referencjach producenta.

Kogo dotyczy

Aplikacje skompilowane przy użyciu kompilatora Golang Go — konkretne wersje wskazane w referencjach producenta (go.dev/issue/78333 oraz pkg.go.dev/vuln/GO-2026-4868)