Updated dependencies and upcoming release #576

bsmelo · 2024-06-10T18:22:51Z

bsmelo
Jun 10, 2024

Hello, team!

I'd like to know if there's any planned upcoming release, please. Since the last release is from Dec 2022, I think a new release could be made to accommodate at least some bumped dependencies, which are always welcome and could provide fixes for possible CVEs - not long ago a thread along these same lines were opened here: #549.

Of course, let me know if I can help with something such as setting up dependabot for this (which I've never done but would be inclined to learn doing) or something else a non-Go developer could contribute with.

Thanks in advance!

bsmelo · 2024-06-13T17:26:05Z

bsmelo
Jun 13, 2024
Author

For the record, below is a list of vulnerabilities found in the age and age-keygen binaries as reported by Trivy 0.52.1. We can see most of them (including the critical ones) can be fixed by bumping the stdlib dependency version. All of them are fixed in newer versions of the dependencies.

trivy -v:

Version: 0.52.1
Vulnerability DB:
  Version: 2
  UpdatedAt: 2024-06-13 12:13:22.596772287 +0000 UTC
  NextUpdate: 2024-06-13 18:13:22.596771977 +0000 UTC
  DownloadedAt: 2024-06-13 17:18:46.572993859 +0000 UTC

home/helmuser/.local/bin/age (gobinary)

Total: 31 (UNKNOWN: 2, LOW: 0, MEDIUM: 13, HIGH: 14, CRITICAL: 2)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬──────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │          Fixed Version           │                            Title                             │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2023-48795 │ MEDIUM   │ fixed  │ v0.4.0            │ 0.17.0                           │ ssh: Prefix truncation attack on Binary Packet Protocol      │
│                     │                │          │        │                   │                                  │ (BPP)                                                        │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-48795                   │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ stdlib              │ CVE-2023-24538 │ CRITICAL │        │ 1.19.4            │ 1.19.8, 1.20.3                   │ golang: html/template: backticks not treated as string       │
│                     │                │          │        │                   │                                  │ delimiters                                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24538                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24540 │          │        │                   │ 1.19.9, 1.20.4                   │ golang: html/template: improper handling of JavaScript       │
│                     │                │          │        │                   │                                  │ whitespace                                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24540                   │
│                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41722 │ HIGH     │        │                   │ 1.19.6, 1.20.1                   │ golang: path/filepath: path-filepath filepath.Clean path     │
│                     │                │          │        │                   │                                  │ traversal                                                    │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41722                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41723 │          │        │                   │                                  │ net/http, golang.org/x/net/http2: avoid quadratic complexity │
│                     │                │          │        │                   │                                  │ in HPACK decoding                                            │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41723                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41724 │          │        │                   │                                  │ golang: crypto/tls: large handshake records may cause panics │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41724                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41725 │          │        │                   │                                  │ golang: net/http, mime/multipart: denial of service from     │
│                     │                │          │        │                   │                                  │ excessive resource consumption                               │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41725                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24534 │          │        │                   │ 1.19.8, 1.20.3                   │ golang: net/http, net/textproto: denial of service from      │
│                     │                │          │        │                   │                                  │ excessive memory allocation                                  │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24534                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24536 │          │        │                   │                                  │ golang: net/http, net/textproto, mime/multipart: denial of   │
│                     │                │          │        │                   │                                  │ service from excessive resource consumption                  │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24536                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24537 │          │        │                   │                                  │ golang: go/parser: Infinite loop in parsing                  │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24537                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24539 │          │        │                   │ 1.19.9, 1.20.4                   │ golang: html/template: improper sanitization of CSS values   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24539                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29400 │          │        │                   │                                  │ golang: html/template: improper handling of empty HTML       │
│                     │                │          │        │                   │                                  │ attributes                                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29400                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29403 │          │        │                   │ 1.19.10, 1.20.5                  │ golang: runtime: unexpected behavior of setuid/setgid        │
│                     │                │          │        │                   │                                  │ binaries                                                     │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29403                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39325 │          │        │                   │ 1.20.10, 1.21.3                  │ golang: net/http, x/net/http2: rapid stream resets can cause │
│                     │                │          │        │                   │                                  │ excessive work (CVE-2023-44487)                              │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39325                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45283 │          │        │                   │ 1.20.11, 1.21.4, 1.20.12, 1.21.5 │ The filepath package does not recognize paths with a \??\    │
│                     │                │          │        │                   │                                  │ prefix as...                                                 │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45283                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45287 │          │        │                   │ 1.20.0                           │ golang: crypto/tls: Timing Side Channel attack in RSA based  │
│                     │                │          │        │                   │                                  │ TLS key exchanges....                                        │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45287                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45288 │          │        │                   │ 1.21.9, 1.22.2                   │ golang: net/http, x/net/http2: unlimited number of           │
│                     │                │          │        │                   │                                  │ CONTINUATION frames causes DoS                               │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45288                   │
│                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24532 │ MEDIUM   │        │                   │ 1.19.7, 1.20.2                   │ golang: crypto/internal/nistec: specific unreduced P-256     │
│                     │                │          │        │                   │                                  │ scalars produce incorrect results                            │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24532                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29406 │          │        │                   │ 1.19.11, 1.20.6                  │ golang: net/http: insufficient sanitization of Host header   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29406                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29409 │          │        │                   │ 1.19.12, 1.20.7, 1.21.0-rc.4     │ golang: crypto/tls: slow verification of certificate chains  │
│                     │                │          │        │                   │                                  │ containing large RSA keys                                    │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29409                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39318 │          │        │                   │ 1.20.8, 1.21.1                   │ golang: html/template: improper handling of HTML-like        │
│                     │                │          │        │                   │                                  │ comments within script contexts                              │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39318                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39319 │          │        │                   │                                  │ golang: html/template: improper handling of special tags     │
│                     │                │          │        │                   │                                  │ within script contexts                                       │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39319                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39326 │          │        │                   │ 1.20.12, 1.21.5                  │ golang: net/http/internal: Denial of Service (DoS) via       │
│                     │                │          │        │                   │                                  │ Resource Consumption via HTTP requests...                    │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39326                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45284 │          │        │                   │ 1.20.11, 1.21.4                  │ On Windows, The IsLocal function does not correctly detect   │
│                     │                │          │        │                   │                                  │ reserved de ......                                           │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45284                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45289 │          │        │                   │ 1.21.8, 1.22.1                   │ golang: net/http/cookiejar: incorrect forwarding of          │
│                     │                │          │        │                   │                                  │ sensitive headers and cookies on HTTP redirect...            │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45289                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45290 │          │        │                   │                                  │ golang: net/http: memory exhaustion in                       │
│                     │                │          │        │                   │                                  │ Request.ParseMultipartForm                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45290                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24783 │          │        │                   │                                  │ golang: crypto/x509: Verify panics on certificates with an   │
│                     │                │          │        │                   │                                  │ unknown public key algorithm...                              │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24783                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24784 │          │        │                   │                                  │ golang: net/mail: comments in display names are incorrectly  │
│                     │                │          │        │                   │                                  │ handled                                                      │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24784                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24785 │          │        │                   │                                  │ golang: html/template: errors returned from MarshalJSON      │
│                     │                │          │        │                   │                                  │ methods may break template escaping                          │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24785                   │
│                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24789 │ UNKNOWN  │        │                   │ 1.21.11, 1.22.4                  │ The archive/zip package's handling of certain types of       │
│                     │                │          │        │                   │                                  │ invalid zip fil ......                                       │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24789                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24790 │          │        │                   │                                  │ The various Is methods (IsPrivate, IsLoopback, etc) did not  │
│                     │                │          │        │                   │                                  │ work as ex...                                                │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24790                   │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴──────────────────────────────────┴──────────────────────────────────────────────────────────────┘

home/helmuser/.local/bin/age-keygen (gobinary)

Total: 31 (UNKNOWN: 2, LOW: 0, MEDIUM: 13, HIGH: 14, CRITICAL: 2)

┌─────────────────────┬────────────────┬──────────┬────────┬───────────────────┬──────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability  │ Severity │ Status │ Installed Version │          Fixed Version           │                            Title                             │
├─────────────────────┼────────────────┼──────────┼────────┼───────────────────┼──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2023-48795 │ MEDIUM   │ fixed  │ v0.4.0            │ 0.17.0                           │ ssh: Prefix truncation attack on Binary Packet Protocol      │
│                     │                │          │        │                   │                                  │ (BPP)                                                        │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-48795                   │
├─────────────────────┼────────────────┼──────────┤        ├───────────────────┼──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ stdlib              │ CVE-2023-24538 │ CRITICAL │        │ 1.19.4            │ 1.19.8, 1.20.3                   │ golang: html/template: backticks not treated as string       │
│                     │                │          │        │                   │                                  │ delimiters                                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24538                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24540 │          │        │                   │ 1.19.9, 1.20.4                   │ golang: html/template: improper handling of JavaScript       │
│                     │                │          │        │                   │                                  │ whitespace                                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24540                   │
│                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41722 │ HIGH     │        │                   │ 1.19.6, 1.20.1                   │ golang: path/filepath: path-filepath filepath.Clean path     │
│                     │                │          │        │                   │                                  │ traversal                                                    │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41722                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41723 │          │        │                   │                                  │ net/http, golang.org/x/net/http2: avoid quadratic complexity │
│                     │                │          │        │                   │                                  │ in HPACK decoding                                            │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41723                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41724 │          │        │                   │                                  │ golang: crypto/tls: large handshake records may cause panics │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41724                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2022-41725 │          │        │                   │                                  │ golang: net/http, mime/multipart: denial of service from     │
│                     │                │          │        │                   │                                  │ excessive resource consumption                               │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2022-41725                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24534 │          │        │                   │ 1.19.8, 1.20.3                   │ golang: net/http, net/textproto: denial of service from      │
│                     │                │          │        │                   │                                  │ excessive memory allocation                                  │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24534                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24536 │          │        │                   │                                  │ golang: net/http, net/textproto, mime/multipart: denial of   │
│                     │                │          │        │                   │                                  │ service from excessive resource consumption                  │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24536                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24537 │          │        │                   │                                  │ golang: go/parser: Infinite loop in parsing                  │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24537                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24539 │          │        │                   │ 1.19.9, 1.20.4                   │ golang: html/template: improper sanitization of CSS values   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24539                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29400 │          │        │                   │                                  │ golang: html/template: improper handling of empty HTML       │
│                     │                │          │        │                   │                                  │ attributes                                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29400                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29403 │          │        │                   │ 1.19.10, 1.20.5                  │ golang: runtime: unexpected behavior of setuid/setgid        │
│                     │                │          │        │                   │                                  │ binaries                                                     │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29403                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39325 │          │        │                   │ 1.20.10, 1.21.3                  │ golang: net/http, x/net/http2: rapid stream resets can cause │
│                     │                │          │        │                   │                                  │ excessive work (CVE-2023-44487)                              │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39325                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45283 │          │        │                   │ 1.20.11, 1.21.4, 1.20.12, 1.21.5 │ The filepath package does not recognize paths with a \??\    │
│                     │                │          │        │                   │                                  │ prefix as...                                                 │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45283                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45287 │          │        │                   │ 1.20.0                           │ golang: crypto/tls: Timing Side Channel attack in RSA based  │
│                     │                │          │        │                   │                                  │ TLS key exchanges....                                        │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45287                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45288 │          │        │                   │ 1.21.9, 1.22.2                   │ golang: net/http, x/net/http2: unlimited number of           │
│                     │                │          │        │                   │                                  │ CONTINUATION frames causes DoS                               │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45288                   │
│                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-24532 │ MEDIUM   │        │                   │ 1.19.7, 1.20.2                   │ golang: crypto/internal/nistec: specific unreduced P-256     │
│                     │                │          │        │                   │                                  │ scalars produce incorrect results                            │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-24532                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29406 │          │        │                   │ 1.19.11, 1.20.6                  │ golang: net/http: insufficient sanitization of Host header   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29406                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-29409 │          │        │                   │ 1.19.12, 1.20.7, 1.21.0-rc.4     │ golang: crypto/tls: slow verification of certificate chains  │
│                     │                │          │        │                   │                                  │ containing large RSA keys                                    │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-29409                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39318 │          │        │                   │ 1.20.8, 1.21.1                   │ golang: html/template: improper handling of HTML-like        │
│                     │                │          │        │                   │                                  │ comments within script contexts                              │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39318                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39319 │          │        │                   │                                  │ golang: html/template: improper handling of special tags     │
│                     │                │          │        │                   │                                  │ within script contexts                                       │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39319                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-39326 │          │        │                   │ 1.20.12, 1.21.5                  │ golang: net/http/internal: Denial of Service (DoS) via       │
│                     │                │          │        │                   │                                  │ Resource Consumption via HTTP requests...                    │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-39326                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45284 │          │        │                   │ 1.20.11, 1.21.4                  │ On Windows, The IsLocal function does not correctly detect   │
│                     │                │          │        │                   │                                  │ reserved de ......                                           │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45284                   │
│                     ├────────────────┤          │        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45289 │          │        │                   │ 1.21.8, 1.22.1                   │ golang: net/http/cookiejar: incorrect forwarding of          │
│                     │                │          │        │                   │                                  │ sensitive headers and cookies on HTTP redirect...            │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45289                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2023-45290 │          │        │                   │                                  │ golang: net/http: memory exhaustion in                       │
│                     │                │          │        │                   │                                  │ Request.ParseMultipartForm                                   │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2023-45290                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24783 │          │        │                   │                                  │ golang: crypto/x509: Verify panics on certificates with an   │
│                     │                │          │        │                   │                                  │ unknown public key algorithm...                              │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24783                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24784 │          │        │                   │                                  │ golang: net/mail: comments in display names are incorrectly  │
│                     │                │          │        │                   │                                  │ handled                                                      │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24784                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24785 │          │        │                   │                                  │ golang: html/template: errors returned from MarshalJSON      │
│                     │                │          │        │                   │                                  │ methods may break template escaping                          │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24785                   │
│                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24789 │ UNKNOWN  │        │                   │ 1.21.11, 1.22.4                  │ The archive/zip package's handling of certain types of       │
│                     │                │          │        │                   │                                  │ invalid zip fil ......                                       │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24789                   │
│                     ├────────────────┤          │        │                   │                                  ├──────────────────────────────────────────────────────────────┤
│                     │ CVE-2024-24790 │          │        │                   │                                  │ The various Is methods (IsPrivate, IsLoopback, etc) did not  │
│                     │                │          │        │                   │                                  │ work as ex...                                                │
│                     │                │          │        │                   │                                  │ https://avd.aquasec.com/nvd/cve-2024-24790                   │
└─────────────────────┴────────────────┴──────────┴────────┴───────────────────┴──────────────────────────────────┴──────────────────────────────────────────────────────────────┘

3 replies

mohammed90 Jun 13, 2024

That's a ridiculous list of false positives, most of which are not applicable to this project. They aren't in the execution path.

bsmelo Jun 13, 2024
Author

Well, that's good to know then.

FiloSottile Jun 16, 2024
Maintainer

Indeed, those are false positives and should be reported to the tool vendor. govulncheck correctly reports that none affect age.

$ govulncheck
No vulnerabilities found.

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

Updated dependencies and upcoming release #576

{{title}}

Replies: 1 comment 3 replies

{{title}}

{{editor}}'s edit

{{editor}}'s edit

{{title}}

{{title}}

{{title}}

Select a reply

Updated dependencies and upcoming release #576

bsmelo Jun 10, 2024

Replies: 1 comment · 3 replies

bsmelo Jun 13, 2024 Author

mohammed90 Jun 13, 2024

bsmelo Jun 13, 2024 Author

FiloSottile Jun 16, 2024 Maintainer

bsmelo
Jun 10, 2024

Replies: 1 comment 3 replies

bsmelo
Jun 13, 2024
Author

bsmelo Jun 13, 2024
Author

FiloSottile Jun 16, 2024
Maintainer