JVNDB-2025-025528

The Go ProjectのGoにおける不特定の脆弱性

PATH環境変数に実行可能ファイルのパス（単なるディレクトリではなく）が含まれている場合、特定の文字列（""、"."、および".."）をLookPathに渡すと、PATHにリストされているバイナリが予期せず返される可能性があります。

The Go Project

• Go 1.23.12 未満
• Go 1.24.0 以上 1.24.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Go

• Go : os/exec: LookPath bug: incorrect expansion of "", "." and ".." in some PATH configurations  Issue #74466  golang/go
• Go : GO-2025-3956 - Go Packages

1. その他(CWE-Other) [NVD評価]

1. CVE-2025-47906

1. National Vulnerability Database (NVD) : CVE-2025-47906
2. 関連文書 : [security] Go 1.24.6 and Go 1.23.12 are released
3. 関連文書 : oss-security - CVE-2025-47906 & CVE-2025-47907 fixed in Go 1.24.6 & 1.23.12
4. 関連文書 : [release-branch.go1.25] os/exec: fix incorrect expansion of "", "." and ".." in LookPath (691775)  Gerrit Code Review

• [2026年01月29日]
    掲載