gopls by default communicates via pipe. However, -port and -listen flags are supported as means of debugging. If -listen is given a value without an explicit host (e.g. :8080), or -port is used, gopls...
概要
gopls by default communicates via pipe. However, -port and -listen flags are supported as means of debugging.
If -listen is given a value without an explicit host (e.g. :8080), or -port is used, gopls will listen on 0.0.0.0.
As a result, users might inadvertently cause gopls to bind 0.0.0.0.
This c...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
gopls by default communicates via pipe. However, -port and -listen flags are supported as means of debugging.
If -listen is given a value without an explicit host (e.g. :8080), or -port is used, gopls will listen on 0.0.0.0.
As a result, users might inadvertently cause gopls to bind 0.0.0.0.
This can allow a malicious party on the same network to execute code arbitrarily via gopls.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
goplsはデフォルトでパイプ経由で通信しますが、デバッグ時には-port および-listen フラグがサポートされています。-listen にホストが指定されていない場合（例: :8080）や-port が使用されると、goplsは0.0.0.0で待機することがあります。これにより、ネットワーク上の悪意ある者が任意のコードを実行する可能性があります。
goplsのデバッグ用フラグによる不適切なリッスン割り当て
gopls の -port および -listen フラグ
高いリスク、同一ネットワーク上での任意コード実行の可能性
goplsの設定を見直し、ホストを明示的に指定する
明示的にローカルホスト（例: 127.0.0.1）を指定してリッスンする
goplsのフラグ設定を確認し、不適切な設定を修正する
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2026-42503 gopls
- Ubuntu UBUNTU-CVE-2026-42503 gopls
参照URL
- patch security@golang.org
- patch security@golang.org