GitHub dependabot の脆弱性アラート

なんてことない小さな俺様 Go パッケージで、こんなんでました。

メインのパッケージでは x/crypto/ssh は利用していないものの、依存パッケージが利用していました。

つまり // indirect で require された golang.org/x/crypto のバージョンに脆弱性（CVE-2021-43565）があるらしいのです。

golang.org/x/crypto のバージョンを上げればいいのですが、依存先のパッケージがバージョンを上げてくれないため、go.sum がない場合、go tidy すると古いバージョンに戻されてしまうのです。

TL; DR _{^{（今北産業）}}

普通に go get -u golang.org/x/crypto && go mod tidy でアップデートしてみる
アップデートできない（バージョンが差し戻される）場合は、以下を試す
- 依存しているパッケージの管理者に go.mod を更新するように依頼する
- パッチ済みの特定のバージョンを利用するように go.mod でキメ打ちする

キメ打ちする例

go.mod

  module github.com/KEINOS/example
  
  go 1.16
  
  require (
  	github.com/labstack/gommon v0.4.0
  	github.com/mkideal/cli v0.2.7
  	github.com/pkg/errors v0.9.1
  	github.com/stretchr/testify v1.8.1
  	github.com/zenizh/go-capturer v0.0.0-20211219060012-52ea6c8fed04
  )
  
+ // Fix CVE-2021-43565 (do not forget to update to the latest)
+ require golang.org/x/crypto v0.0.0-20220314234659-1baeb1ce4c0b // indirect

依存しているパッケージの go.mod と go.sum が永らくメンテナンスされておらず、更新依頼しても反応がない場合の対処として。