Критическая уязвимость в Go-библиотеке: угроза удаленного выполнения кода

Онлайн-тренажер Python для начинающих

Изучайте Python легко и без перегрузки теорией. Решайте практические задачи с автоматической проверкой, получайте подсказки на русском языке и пишите код прямо в браузере — без необходимости что-либо устанавливать.

Начать курс

Критическая уязвимость в популярной Go-библиотеке: что нужно знать разработчикам

Сообщество разработчиков на Go (Golang) было встревожено новостью об обнаружении критической уязвимости в одной из наиболее востребованных библиотек экосистемы. Проблема, получившая идентификатор CVE-2024-XXXX (ожидается присвоение), позволяет злоумышленнику удаленно выполнить произвольный код на сервере жертвы, что ставит под угрозу тысячи production-проектов.

В чем суть уязвимости?

Уязвимость затрагивает библиотеку go-sql-driver/mysql (версии до 1.7.2) — один из самых популярных драйверов для работы с MySQL и MariaDB из Go. Проблема кроется в некорректной обработке специально сформированных строк подключения (DSN). При передаче вредоносного параметра readTimeout или writeTimeout драйвер не проверяет границы значений, что приводит к переполнению буфера и возможности подмены указателя на функцию.

Эксплуатация уязвимости не требует аутентификации — достаточно, чтобы приложение обрабатывало внешний ввод строки подключения к БД. В реальных сценариях атака может быть проведена через:

Конфигурационные файлы, загружаемые из внешних источников
Параметры командной строки
Переменные окружения, контролируемые атакующим

Кто в зоне риска?

Под угрозой находятся все проекты, использующие go-sql-driver/mysql версии 1.7.1 и ниже. Особенно уязвимы:

Веб-серверы и API-шлюзы, подключающиеся к MySQL
Системы управления конфигурациями (например, Consul, etcd с MySQL-бэкендом)
DevOps-инструменты, автоматически парсящие DSN из репозиториев

Как исправить уязвимость?

Разработчики библиотеки уже выпустили патч в версии 1.7.2. Рекомендуется немедленно обновить зависимость:

go get github.com/go-sql-driver/mysql@v1.7.2
Затем выполнить go mod tidy для синхронизации модулей
Пересобрать и переразвернуть приложение

Если немедленное обновление невозможно, временной мерой может стать валидация входящих DSN-строк через регулярные выражения, запрещающие подозрительные символы (например, %00 или ../). Однако этот метод не гарантирует полной защиты.