CVE-2023-29409
ŚrednieStreszczenie
Podatność w bibliotece Go crypto/tls pozwala na atak DoS poprzez przesyłanie bardzo dużych kluczy RSA w łańcuchach certyfikatów, co powoduje znaczne obciążenie CPU podczas weryfikacji podpisów. Naprawa ogranicza rozmiar kluczy RSA przesyłanych podczas uzgadniania połączenia do maksymalnie 8192 bitów.
Ocena ryzyka
Atakujący może przeciążyć serwer lub klienta, wysyłając celowo spreparowane certyfikaty z dużymi kluczami RSA, co prowadzi do wyczerpania zasobów CPU i potencjalnej odmowy usługi (DoS).
Rekomendacja
Zaktualizuj bibliotekę Go do wersji zawierającej poprawkę (np. Go 1.20.8 lub nowsza), która ogranicza rozmiar kluczy RSA do 8192 bitów.
Oryginalny opis (angielski, źródło NVD)
Extremely large RSA keys in certificate chains can cause a client/server to expend significant CPU time verifying signatures. With fix, the size of RSA keys transmitted during handshakes is restricted to <= 8192 bits. Based on a survey of publicly trusted RSA keys, there are currently only three cer