]> Cypherpunks repositories - gostls13.git/commit
[release-branch.go1.24] os/exec: fix incorrect expansion of "", "." and ".." in LookPath
authorOlivier Mengué <olivier.mengue@gmail.com>
Mon, 30 Jun 2025 14:58:59 +0000 (16:58 +0200)
committerMark Freeman <mark@golang.org>
Wed, 30 Jul 2025 20:59:28 +0000 (13:59 -0700)
commit0f5133b742bf61cda6c98b4cd1d313a330f13f32
tree902cb90fbcb389c7831fdd3df548106be67e6d62
parent6e1c4529e4e00ab58572deceab74cc4057e6f0b6
[release-branch.go1.24] os/exec: fix incorrect expansion of "", "." and ".." in LookPath

Fix incorrect expansion of "" and "." when $PATH contains an executable
file or, on Windows, a parent directory of a %PATH% element contains an
file with the same name as the %PATH% element but with one of the
%PATHEXT% extension (ex: C:\utils\bin is in PATH, and C:\utils\bin.exe
exists).

Fix incorrect expansion of ".." when $PATH contains an element which is
an the concatenation of the path to an executable file (or on Windows
a path that can be expanded to an executable by appending a %PATHEXT%
extension), a path separator and a name.

"", "." and ".." are now rejected early with ErrNotFound.

Fixes CVE-2025-47906
Fixes #74804

Change-Id: Ie50cc0a660fce8fbdc952a7f2e05c36062dcb50e
Reviewed-on: https://go-review.googlesource.com/c/go/+/685755
LUCI-TryBot-Result: Go LUCI <golang-scoped@luci-project-accounts.iam.gserviceaccount.com>
Auto-Submit: Damien Neil <dneil@google.com>
Reviewed-by: Roland Shoemaker <roland@golang.org>
Reviewed-by: Damien Neil <dneil@google.com>
(cherry picked from commit e0b07dc22eaab1b003d98ad6d63cdfacc76c5c70)
Reviewed-on: https://go-review.googlesource.com/c/go/+/691875
Reviewed-by: Michael Knyszek <mknyszek@google.com>
src/os/exec/dot_test.go
src/os/exec/exec.go
src/os/exec/lp_plan9.go
src/os/exec/lp_unix.go
src/os/exec/lp_windows.go