关于Go应用扫描出的两个关联JavaScript的CVE的技术咨询

CVE-2023-24540 #

• 该漏洞针对Go标准库的syscall/js包，核心问题是类型混淆。如果你的Go应用以WebAssembly（Wasm）形式编译后在浏览器环境运行，且涉及Go与JavaScript的跨语言值传递，恶意构造的JS代码可利用此漏洞绕过类型校验，非法访问或篡改内存区域，引发程序崩溃甚至执行未授权操作。

CVE-2023-24538 #

• 同样影响syscall/js包，属于越界内存访问漏洞。当Go代码通过该包处理JS中的数组或类数组对象时，若对象长度被恶意篡改，Go端的内存读取操作会超出合法范围，导致程序崩溃，甚至可能泄露敏感内存数据。

为什么CVE详情提及JavaScript？ #

这两个漏洞的触发依赖Go Wasm程序与JS环境的交互，利用场景和表现都在JS上下文，但根源是Go标准库syscall/js的实现缺陷，因此被标记为Go相关CVE。

应用受影响的前提 #

只有同时满足以下条件，你的应用才会面临风险：

• 以WebAssembly目标编译（编译命令为GOOS=js GOARCH=wasm）
• 代码直接或间接使用syscall/js包进行Go与JS的值交互
• 运行环境为浏览器或其他支持JS的Wasm执行环境

内容的提问来源于stack exchange，提问作者Mandroid