Go-Standardbibliothek os: Junction-Verfolgung aus dem Root-Verzeichnis unter Windows

Zusammenfassung

Unter Windows kann Root.Mkdir und Root.MkdirAll im Go-Standardbibliothekspaket os einer Junction folgen, deren Ziel ein leerer Ort ausserhalb des Root-Verzeichnisses ist, und dort ein Verzeichnis erstellen. Das Problem betrifft nur Fälle, in denen die letzte Pfadkomponente eine Junction ist. Ein Angreifer, der in einem mit os.Root abgegrenzten Verzeichnisbaum Junctions erstellen kann, könnte Verzeichnisse ausserhalb dieses Baums anlegen; der CVSS-Vektor bewertet die Auswirkung als hoch, und es wurden keine Ausnutzungen gemeldet.

Betroffen

• Go-Standardbibliothek os: vor go1.26.9; ab go1.27.0-0 bis vor go1.27.2
• Go-Standardbibliothek internal/syscall/windows: vor go1.26.9; ab go1.27.0-0 bis vor go1.27.2
• Plattform: nur Windows
• Binärdateien, die mit einem betroffenen Toolchain erstellt wurden, sind betroffen.

Behoben in

• Go 1.26.9 (1.26-Zweig)
• Go 1.27.2 (1.27-Zweig)
• Binärdateien müssen mit einem korrigierten Toolchain neu erstellt werden, um behoben zu sein.

Umgehung

• Keine bekannte Workaround-Lösung des Herstellers.
• Einschränken, wer in Verzeichnisbäumen, die Go-Code mit os.Root abgrenzt, Junctions erstellen kann.
• os.Root bei von Angreifern beeinflussbaren Pfaden nicht verwenden, bis die Binärdatei neu erstellt wurde.

Ausnutzung

• In freier Wildbahn ausgenutzt: keine Hinweise gefunden. CISA SSVC führt die Ausnutzung als none, automatisierbar als yes.
• Nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof-of-Concept gefunden.
• Die Ausnutzung erfordert Schreibzugriff auf den abgegrenzten Verzeichnisbaum, um eine Junction zu erstellen.

Unsere Empfehlung

• Windows-Systeme ermitteln, auf denen Go-Binärdateien laufen, die os.Root bei nicht vertrauenswürdigen Pfaden verwenden.
• Go-Toolchain auf 1.26.9 oder 1.27.2 aktualisieren und betroffene Binärdateien neu erstellen.
• Prüfen, ob Drittsoftware für Windows eine korrigierte Go-Version enthält.
• Falls ein sofortiges Update nicht möglich ist, das Risiko dokumentieren und die oben genannten Zwischenmassnahmen anwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Go vulnerability database GO-2026-6604 pkg.go.dev
• OSV BIT-golang-2026-56857 osv.dev
• Go fix commit CL 847305 go.dev
• Go issue 81739 go.dev
• Go announcement golang-announce groups.google.com
• OpenCVE CVE-2026-56857 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:08.