CVE-2022-23773

Description

cmd/go in Go before 1.16.14 and 1.17.x before 1.17.7 can misinterpret branch names that falsely appear to be version tags. This can lead to incorrect access control if an actor is supposed to be able to create branches but not tags.

Scores

Faiblesses (CWE)

• CWE-436

Avis

• GO-2022-0318 — Incorrect access control in the go command in cmd/go/internal/modfetch

Références européennes

• ENISA EUVD · EUVD-2022-28709
• GCVE · GCVE-0-2022-23773

Avis du CERT-FR

• CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2024-AVI-0145 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0976 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0428 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
• CERTFR-2022-AVI-543 — Multiples vulnérabilités dans le noyau Linux de Red Hat · cert.ssi.gouv.fr
• CERTFR-2022-AVI-239 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

• cpe:2.3:a:golang:go:*:*:*:*:*:*:*:* < 1.16.14
• cpe:2.3:a:golang:go:*:*:*:*:*:*:*:* ≥ 1.17.0 < 1.17.7
• cpe:2.3:a:netapp:beegfs_csi_driver:-:*:*:*:*:*:*:*
• cpe:2.3:a:netapp:cloud_insights_telegraf_agent:-:*:*:*:*:*:*:*
• cpe:2.3:a:netapp:kubernetes_monitoring_operator:-:*:*:*:*:*:*:*
• cpe:2.3:a:netapp:storagegrid:-:*:*:*:*:*:*:*

Produits affectés

Références

• https://www.oracle.com/security-alerts/cpujul2022.html
• https://groups.google.com/g/golang-announce/c/SUsQn0aSgPQ
• https://security.netapp.com/advisory/ntap-20220225-0006/
• https://security.gentoo.org/glsa/202208-02

Sources