阅读本文大概需要 5 分钟。

大家好，我是 polarisxu。

今早 Go 官方发布了两个新的小版本：Go1.19.3 和 Go1.18.8，这是进行了安全更新。这次升级只包含了一个安全问题修复。

syscall，os/exec 包：环境变量中未初始化的 NULL

在Windows上，syscall.StartProcess 和 os/exec.Cmd 未正确检查无效的环境变量值。恶意环境变量值可以利用此行为为其他环境变量设置值。例如，环境变量字符串“A=B\x00C=D”设置变量“A=B”和“C=D“）。

详细 issue 见：https://github.com/golang/go/issues/56284。

Go 语言中文网为大家准备好了下载包：https://studygolang.com/dl。

如果你使用 Windows 做服务器，而且使用了上面的 API，建议升级！