CVE-2024-24783
ŚrednieStreszczenie
Podatność w bibliotece crypto/tls języka Go powoduje panikę podczas weryfikacji łańcucha certyfikatów zawierającego certyfikat z nieznanym algorytmem klucza publicznego. Dotyczy to wszystkich klientów TLS oraz serwerów z włączoną weryfikacją certyfikatów klienta.
Ocena ryzyka
Atakujący może spowodować awarię (panikę) aplikacji korzystającej z crypto/tls, co prowadzi do przerwania działania usługi (DoS). Szczególnie narażone są serwery wymagające weryfikacji certyfikatów klienta.
Rekomendacja
Należy natychmiast zaktualizować Go do wersji zawierającej poprawkę (np. 1.22.1 lub 1.21.8) oraz przebudować wszystkie aplikacje korzystające z crypto/tls.
Oryginalny opis (angielski, źródło NVD)
Verifying a certificate chain which contains a certificate with an unknown public key algorithm will cause Certificate.Verify to panic. This affects all crypto/tls clients, and servers that set Config.ClientAuth to VerifyClientCertIfGiven or RequireAndVerifyClientCert. The default behavior is for TL