中危 GoUtils 安全漏洞

CVE编号

CVE-2021-4238

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-12-28

漏洞描述

GoUtils是Masterminds开源的一个库。为用户提供了以各种方式操纵字符串的实用函数。Masterminds goutils存在安全漏洞，该漏洞源于随机生成的字母数字字符串包含的熵比预期的要少得多，RandomAlphaNumeric 和 CryptoRandomAlphaNumeric 函数始终返回包含至少一位从 0 到 9 的字符串，导致减少了这些函数生成的短字符串中的熵量。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/Masterminds/goutils/commit/869801f20f9f1e7ecdbdb6422049d82...
https://pkg.go.dev/vuln/GO-2022-0411

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	goutils_project	goutils	*		Up to (excluding) 1.1.1
	运行在以下环境
	系统	amazon_AMI	busybox	*		Up to (excluding) 1.34.1-1.13.amzn1
	运行在以下环境
	系统	debian_12	golang-github-masterminds-goutils	*		Up to (excluding) 1.1.1-4
	运行在以下环境
	系统	debian_sid	golang-github-masterminds-goutils	*		Up to (excluding) 1.1.1-4
	运行在以下环境
	系统	fedora_33	busybox-petitboot-debuginfo	*		Up to (excluding) 1.34.1-1.fc33
	运行在以下环境
	系统	fedora_34	busybox-petitboot-debuginfo	*		Up to (excluding) 1.34.1-1.fc34
	运行在以下环境
	系统	kylinos_aarch64_V10SP2	busybox	*		Up to (excluding) 1.31.1-12.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP2	busybox	*		Up to (excluding) 1.31.1-12.ky10
	运行在以下环境
	系统	opensuse_Leap_15.3	virtualbox-vnc	*		Up to (excluding) 6.1.34-lp153.2.27.2
	运行在以下环境
	系统	opensuse_Leap_15.4	busybox	*		Up to (excluding) 1.35.0-150400.3.3.1
	运行在以下环境
	系统	suse_12_SP5	busybox	*		Up to (excluding) 1.35.0-4.3.1
	运行在以下环境
	系统	ubuntu_18.04.5_lts	busybox	*		Up to (excluding) 1:1.27.2-2ubuntu3.3

阿里云评分 6.0

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-331	信息熵不充分

Exp相关链接

- avd.aliyun.com