月度归档： 2023 年 11 月

本文翻译自《Go Security Policy》。

概述

本文档介绍Go Security团队处理报告的问题的流程以及预期的回复。

报告一个安全漏洞

Go发行版中的所有安全漏洞都应通过电子邮件报告给[email protected]。此邮件会发送给Go Security团队。

为了确保你的报告不被标记为垃圾邮件，请在电子邮件中的任何位置包含“vulnerability”一词。请在电子邮件中使用一行描述主题。

你的电子邮件将在7天内得到确认，在解决问题之前，你将了解最新进展。你的问题将在90天内解决或公开。

如果你在7天内没有收到电子邮件回复，请再次与Go安全团队联系，地址为[email protected]。请确保你的电子邮件中包含“vulnerability”一词。

如果再过3天，你仍未收到对报告的确认，则你的电子邮件可能已被标记为垃圾邮件。在这种情况下，请在此处提交问题。选择“我想报告谷歌产品（SQLi、XSS等）中的技术安全或滥用风险相关的错误”，并选中“Go”为受影响的产品。

跟踪问题

根据问题的性质，Go安全团队会将其归类为PUBLIC、PRIVATE或URGENT问题。所有安全问题都将被分配一个CVE编号。

PUBLIC

PUBLIC的问题影响非常有限，或者已经广为人知。

PUBLIC的问题被标记为“Proposal-Security”，通过公开的Go提案审查过程进行讨论，并返回到下一个计划的次要发布(minor releases)（每月发布一次）。发布公告包括这些问题的详细信息，但不会预先发布。

以下是过去发布的PUBLIC的问题的例子：

• #44916:archive/zip:调用Reader.Open时可能会引发panic
• #44913:encoding/xml:把自定义TokenReader传给xml.NewTokenDecoder时会引发无限循环
• #40928: net/http/cgi,net/http/fcgi:但没有指定Content-Type时存在Cross-Site Scripting (XSS)攻击风险
• #40618: encoding/binary: ReadUvarint和ReadVarint可以从非法输入中读取无限个字节
• #36834: crypto/x509:Windows 10可以绕过证书验证

PRIVATE

PRIVATE中的问题违反了已提交的安全属性。

PRIVATE问题在下一个计划发布的次要版本中得到修复，并在此之前保持私有状态。

发布前三到七天，将发布预公告，宣布即将发布的版本中存在一个或多个安全修复程序，以及这些问题是否会影响标准库或（和）工具链，以及每个修复程序的CVE ID号码。

以下是过去发布的RIVATE的问题的例子：

• #53416: path/filepath: Glob包会导致栈空间耗尽
• #53616: go/parser:所有Parse*函数都存在栈空间耗尽的问题
• #54658: net/http:GOAWAY发送GOAWAY给服务器后引发错误
• #56284: syscall, os/exec:在环境变量中没有清除NUL

URGENT

URGENT问题对Go的生态系统的完整性构成威胁，或者正在被黑客积极利用，导致严重破坏。虽然最近没有这方面的例子，但它们可能包括net/http中的远程代码执行，或crypto/tls中的密钥恢复等。

URGENT问题是私下解决的，并会立即进行安全版本的发布，可能不会有预公告。

发送安全相关问题

如果你认为现有的某个问题与安全相关，我们请求你发送电子邮件至[email protected]。电子邮件应包括问题ID和为什么应根据此安全策略进行处理的简短描述。

披露和处理一个安全漏洞的流程

Go使用以下流程来披露和处理一个安全漏洞的流程：

• 一旦收到一个安全报告，就会为其分配一个主处理流程。有个人负责协调整个修复和发布过程。
• 问题已得到确认，并确定了受影响软件的列表。
• 对代码进行审计，以发现任何潜在的类似问题。
• 如果在与提交者协商后确定需要CVE编号，则主处理流程将获得一个。
• 为最近的两个主版本号和head/master分支准备好修复程序。修复程序是为最近的两个主版本号准备的，并合并到head/master分支中。
• 在应用修复程序的当天，会有公告发送到golang-announcement、golang-dev和golang-nuts。

这个过程可能需要一些时间，尤其是当需要与其他项目的维护人员进行协调时。我们将尽一切努力及时处理漏洞，但重要的是，我们要遵循上述流程，确保披露的漏洞得到一致的处理过程。

对于包括分配CVE号码在内的安全问题，该问题会在CVE详细信息网站和国家漏洞披露网站的“Golang”产品下公开列出。

接收安全更新

接收安全公告的最佳方式是订阅golang-announce邮件列表。任何与安全问题有关的消息都将以[security]作为前缀。

对此政策的评论

如果你对改进此Go安全政策有任何建议，请提交一个问题进行讨论。

本文翻译自《Security Best Practices for Go Developers》。

点此回到《Go安全》。

此页面为Go开发人员提供了优先考虑项目安全的最佳实践。从使用自动化的模糊测试到轻松检查竞态条件(race condition)，这些技巧可以帮助你的代码库更加安全可靠。

扫描源代码和二进制文件中的漏洞

定期扫描代码和二进制文件中的漏洞有助于及早发现潜在的安全风险。你可以使用由Go漏洞数据库支持的govulcheck来扫描代码中的漏洞，并分析哪些漏洞会真正影响到你。开始学习govuncheck教程。

Govulncheck也可以集成到CI/CD工作流中。Go团队在GitHub Marketplace上为Govulcheck提供了一个GitHub动作( GitHub Action)。Govulncheck还支持-json标志，以帮助开发人员将漏洞扫描功能与其他CI/CD系统集成。

你还可以使用VS Code的Go扩展直接在编辑器中扫描漏洞。见本教程。

使你的Go版本和依赖项保持最新

让你的Go版本保持最新，你就可以使用最新的语言功能、性能改进和已知安全漏洞的修补程序。更新的Go版本还确保了与新版本的依赖项的兼容性，有助于避免潜在的集成问题。查看Go版本的历史发布记录，查看在不同版本之间对Go进行了哪些更改。Go团队在整个发布周期中按照安全问题的议点发布，以解决安全漏洞。请确保更新到最新的Go的小版本号，以确保你拥有最新的安全修复程序。

维护最新的第三方依赖项对于Go生态系统中的软件的安全性、性能和遵守最新标准都至关重要。然而，在没有彻底审查的情况下更新到最新版本也可能存在风险，可能会引入新的Bug、不兼容的更改，甚至恶意代码。因此，虽然更新到最新的安全补丁和改进的依赖项至关重要，但每次更新都应该仔细审查和测试。

使用模糊测试来发现代码的边界漏洞

模糊测试是一种自动测试，它使用覆盖率导向(coverage guidance)来操纵随机输入并遍历代码，以发现和报告潜在的漏洞，例如SQL注入、缓冲区溢出、拒绝服务以及跨站点脚本攻击。模糊测试经常会触及程序员错过的边界测试用例，或者认为不太可能出错的边界测试用例。见本教程。

使用Go的竞态检测器检查竞态情况

当两个或多个goroutine同时访问同一资源，并且其中至少有一个访问是写操作时，就会出现竞态情况。这可能会导致软件中出现不可预测、难以诊断的问题。使用内置的竞态检测器在Go代码中识别潜在的竞态情况，这可以帮助你确保并发程序的安全性和可靠性。不过，竞态检测器只会查找运行时发生的争用，没法在未执行的代码中查找。

要使用内置的竞态检测器，请在运行测试或构建应用程序时添加-race标志，例如go test -race。这将在启用竞态检测器的情况下编译代码，并报告它在运行时检测到的任何竞态情况。当竞态检测器在程序中发现数据冲突时，它将打印一份报告，其中包含冲突访问的堆栈跟踪，以及创建相关goroutine的堆栈。

使用Vet检查可疑的代码结构

Go的vet命令旨在分析源代码，并标记不一定是语法错误，但可能在运行时导致问题的潜在代码，例如无法访问到的代码、未使用的变量以及goroutine中常见的错误。在开发过程的早期发现这些问题，有助于保持代码质量，减少调试时间，并提高软件的整体可靠性。要为指定项目运行go vet，请运行：

go vet ./...

译者注：Goland这种IDE已经集成并会自动使用vet命令了。

订阅golang公告以获取安全相关发布的通知

包含安全修复程序的Go版本已预先发布到[email protected]邮件列表中。如果你想知道Go本身的安全修复何时开始，请订阅。

本文翻译自《Go CNA Policy》。

点此回到《Go安全》。

概述

Go CNA是一个CVE编号机构，负责发布CVE ID并发布Go生态系统中公开漏洞的CVE记录。它是Google CNA的子CNA。

范围

Go CNA涵盖Go项目（Go标准库和子存储库）中的漏洞，以及其他CNA尚未涵盖的可导入的Go模块中的公开漏洞。

此范围旨在明确排除Go中编写的应用程序或不可导入的包中的漏洞（例如main中的任何包）。更多信息，请参阅go.dev/security/vuln/database#excluded-reports。

要报告Go项目中潜在的新漏洞，请参阅Go.dev/security/policy。

为一个公开漏洞请求一个CVE ID

重要提示：下面链接的表单在议题跟踪器上创建了一个公开议题，因此不得用于报告Go中未公开的漏洞（有关报告未公开问题的说明，请参阅我们的安全政策）。

要为Go生态系统中现有PUBLIC漏洞请求一个CVE ID，请通过此表单提交请求。

如果漏洞已经公开披露，或者存在于你维护的包中，并且你准备公开披露，则该漏洞被视为公开漏洞。

本文翻译自《Go Vulnerability Management》。

点此回到《Go安全》。

概述

Go可以帮助开发人员检测、评估和解决有可能被攻击者利用的代码Bug或弱点。在幕后，Go团队运行一个管道来策划有关漏洞的报告，这些报告存储在Go漏洞数据库中。可以阅读和分析各种库和工具的这些报告，以了解特定用户项目可能受到的影响。此功能已集成到Go软件包发现站点和新的CLI工具govulcheck中。

该项目正在推进中，正在积极开发中。我们欢迎你的反馈，帮助我们改进！

注意：要报告Go项目中的漏洞，请参阅Go安全策略。

架构

Go中的漏洞管理由以下高级部分组成：

• 数据管道从各种来源收集漏洞信息，包括国家漏洞数据库（NVD）、GitHub咨询数据库，以及直接从Go包维护者那里收集。
• 漏洞数据库由使用数据管道中的信息的报告填充。数据库中的所有报告都由Go Security团队进行审查和策划。报告采用开放源代码漏洞（OSV）格式，可通过API访问。
• 与pkg.go.dev和govulcheck集成，使开发人员能够发现项目中的漏洞。govulncheck命令分析代码库，并根据正在直接或间接调用易受攻击的函数的那些代码来显示实际影响到你的漏洞。Govulncheck提供了一种低噪声、可靠的方法来查找项目中的已知漏洞。

资源

Go漏洞数据库

Go漏洞数据库包含来自许多现有来源的信息，此外还有Go包的维护人员直接向Go安全团队的报告。数据库中的每个条目都会被审查，以确保漏洞的描述、包和符号的信息以及版本的详细信息是准确的。

有关go漏洞数据库的更多信息，请参阅go.dev/security/vuln/database，在浏览器中查看数据库中的漏洞信息，请参阅pkg.go.dev/vuln。

我们鼓励包的维护人员在自己的项目中提供有关漏洞的信息，并向我们发送如何减少该漏洞造成的影响的建议。

Go漏洞检测

Go的漏洞检测旨在为Go用户提供一种低噪声、可靠的方式来了解可能影响其项目的已知漏洞。漏洞检测集成到Go的工具和服务中，包括一个新的命令行工具govulcheck、Go包发现网站、主流的编辑器，例如带有Go扩展的VS Code。

要开始使用govulcheck，请在项目中运行以下命令语句：

$ go install golang.org/x/vuln/cmd/govulncheck@latest
$ govulncheck ./...

要在编辑器中启用漏洞检测，请参阅编辑器集成漏洞检测插件页面中的说明。

Go CNA

Go安全团队是一个CVE编号机构(CVE Numbering Authority)。有关更多信息，请参阅go.dev/security/vuln/cna。

反馈

我们希望你在以下方面做出贡献并帮助我们改进：

• 为你维护的Go包提供有关公共漏洞的新信息或更新现有的信息
• 参加此调查以分享你使用govulcheck的经验
• 向我们发送有关问题和功能的反馈

FAQ

如何报告Go项目中的漏洞？

通过电子邮件向[email protected]报告Go项目中的所有安全漏洞。有关我们流程的更多信息，请阅读Go的安全政策。

如何将公共漏洞添加到Go漏洞数据库？

要将公共漏洞添加到Go漏洞数据库，请填写此表单。

如果漏洞已经公开披露，或者存在于你维护的包中（并且你已准备好披露），则该漏洞被视为公开漏洞。该表单仅适用于不由Go团队维护的可导入的Go包中的公共漏洞（Go标准库、Go工具链和golang.org模块之外的任何包）。

该表单也可用于申请新的CVE ID。点击此处了解更多关于Go CVE编号机构的信息。

如何提议对漏洞进行编辑？

提议编辑Go漏洞数据库中的现有报告，请填写此处的表单。

我如何报告问题或提供有关govulcheck的反馈？

在Go问题跟踪器上提交你的问题或反馈。

我在另一个数据库中发现了此漏洞，为什么它不在Go漏洞数据库中？

由于各种原因，报告可能会被排除在Go漏洞数据库之外，包括相关漏洞不存在于Go包中，存在于可安装命令而非可导入包中，或者该漏洞被数据库中已存在的另一个漏洞所包含。你可以在此处了解更多关于Go Security团队排除报告的原因。如果你认为某个报告被错误地排除在vuln.gov之外，请告诉我们。

为什么Go漏洞数据库不使用严重级别标签？

大多数漏洞报告格式使用严重性标签，如“LOW”、“MEDIUM”和“CRITICAL”，以指示不同漏洞造成的影响程度，并帮助开发人员确定安全问题的优先处理级别。然而，由于几个原因，Go避免使用此类标签。

漏洞的影响很少是普遍的，这意味着严重性指标往往具有欺骗性。例如，如果解析器用于解析用户提供的输入，并且可以被DoS攻击利用，那么解析器中的漏洞可能是一个严重的问题，但如果解析器只是用于分析本地配置文件，即使将严重性称为“低”也可能言过其实。

严重程度也必然是主观的。即使对于CVE程序也是如此，该程序假定了一个公式来分解漏洞的相关方面，如攻击向量、复杂性和可利用性。然而，所有这些都需要主观评价。

我们认为，对漏洞的良好描述比严重性指标更有用。一个好的描述可以分解什么是问题，如何触发问题，以及用户在确定对自己软件的影响时应该考虑什么。

如果你想与我们分享你对此主题的想法，请随时提交一个议题。

本文翻译自《Vulnerability Scanning in IDE》。

点此回到《Go安全》。

与Go语言服务器集成的编辑器，例如装有Go扩展的VS Code，可以检测依赖项中的漏洞。

检测依赖关系中的漏洞有两种模式。两者都由Go漏洞数据库支持，并相互补充。

• 基于导入的分析：在这种模式下，编辑器通过扫描工作区中导入的一组包来报告漏洞，并在go.mod文件中显示诊断结果。这很快，但如果你的代码导入了有漏洞的包，但并没有实际调用具有该漏洞的函数，则可能会误报。此模式可以通过“vulncheck”: “Imports”设置启用。
• Govulncheck分析：这是基于gopls中嵌入的govulnchick命令行工具。这提供了一种低噪声、可靠的方法来确认代码是否真的调用了易受攻击的函数。由于此分析的计算成本可能很高，因此必须与基于导入的分析中的诊断报告相关的“Run govuncheck to verify”代码操作或使用go.mod文件上的“codelens.Run_govulcheck”代码操作手动触发。

切换Vulncheck (vulncheck.mp4)

这些功能在gopls v0.11.0或更新版本中可用。请在https://go.dev/s/vsc-vulncheck-feedback上分享你的反馈。

编辑器相关指导

VS Code

Go扩展提供了与gopls的集成。需要以下设置才能启用漏洞扫描功能：

"go.diagnostic.vulncheck": "Imports", // 默认启用基于导入的Govulncheck分析
"gopls": {
  "ui.codelenses": {
    "run_govulncheck": true  // 在go.mod文件里，鼠标移到依赖项上时显示"Run govulncheck"菜单选项
  }
}

“Go Toggle Vulcheck”命令可用于打开和关闭当前工作空间的基于导入的分析。

Vim/NeoVim

使用coc.nvim插件时，以下设置将启用基于导入的分析。

{
    "codeLens.enable": true,
    "languageserver": {
        "go": {
            "command": "gopls",
            ...
            "initializationOptions": {
                "vulncheck": "Imports",
            }
        }
    }
}

注意事项和警告

• 该扩展不扫描私有包，也不发送任何有关私有模块的信息。所有分析都是通过从Go漏洞数据库中提取已知有漏洞风险的模块的列表，然后在本地计算交集来完成的。
• 基于导入的分析使用工作区(workspace)模块中的包列表，如果使用了go.work文件或replace/exclude指令，则该列表可能与你在go.mod文件中看到的不同。
• 在修改代码或更新Go漏洞数据库后，govulcheck分析结果可能会变得过时。要手动使分析结果失效，请使用go.mod文件顶部显示的“Reset go.mod diagnostics”选项。否则，结果将在一小时后自动失效。
• 这些功能目前不会报告标准库或工具链中的漏洞。我们仍在调查用户体验，了解在哪里显示这些发现比较合适，以及如何帮助用户处理这些问题。