30秒で判断
- 対応すべき人: go-gh 2.12.1 未満に依存する GitHub CLI 拡張機能の作者・利用者、特に GitHub Enterprise Server（GHES）に接続する環境
- 対応不要な人: go-gh を使う拡張機能を利用していない、または修正版を使用中の場合
- 確認コマンド: 拡張機能の
go.modでgithub.com/cli/go-ghのバージョンを確認
概要
go-gh は GitHub CLI 拡張機能の作成を容易にする Go モジュール群です。2.12.1 未満のバージョンでは、攻撃者が制御する GitHub Enterprise Server が、ブラウズ用に返す HTTP URL をローカルファイルパスへ差し替える ことで、利用者のマシン上で任意コマンドが実行され得ます。2.12.1 では Browser.Browse() が強化され、HTTP URL を不当に妨げることなくファイルシステム上のファイルを開く／実行するシナリオを制限するようになりました。回避策はなく、アップデートが必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSS スコア | 9.8（Critical） |
| 攻撃元区分（AV） | ネットワーク |
| 攻撃条件の複雑さ（AC） | 低 |
| 必要な特権（PR） | 不要 |
| ユーザー関与（UI） | 不要 |
| CWE | CWE-501（Trust Boundary Violation） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| go-gh | cli | < 2.12.1 | 2.12.1 |
修正バージョンと回避策
- 修正: go-gh 2.12.1 以降を利用する GitHub CLI 拡張機能へ更新
- 回避策: 既知の回避策なし。アップデートが必要
- 確認方法: 拡張機能の
go.mod/go.sumでgithub.com/cli/go-ghのバージョンを確認
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。