CVE-2022-30634

Indefinite hang with large buffers on Windows in crypto/rand

Description

Infinite loop in Read in crypto/rand before Go 1.17.11 and Go 1.18.3 on Windows allows attacker to cause an indefinite hang by passing a buffer larger than 1 << 32 - 1 bytes.

Scores

Weaknesses (CWE)

• CWE-835

Advisories

• GO-2022-0477 — Indefinite hang with large buffers on Windows in crypto/rand

European references

• ENISA EUVD · EUVD-2022-52465
• GCVE · GCVE-0-2022-30634

CERT-FR advisories

• CERTFR-2026-AVI-0339 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0428 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

• cpe:2.3:a:golang:go:*:*:*:*:*:*:*:* < 1.17.11
• cpe:2.3:a:golang:go:*:*:*:*:*:*:*:* ≥ 1.18.0 < 1.18.3
• cpe:2.3:a:netapp:cloud_insights_telegraf_agent:-:*:*:*:*:*:*:*

Affected products

References

• https://go.dev/cl/402257
• https://go.googlesource.com/go/+/bb1f4416180511231de6d17a1f2f55c82aafc863
• https://go.dev/issue/52561
• https://groups.google.com/g/golang-announce/c/TzIC9-t8Ytg/m/IWz5T6x7AAAJ
• https://pkg.go.dev/vuln/GO-2022-0477

Sources