CVE-2025-61729
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W funkcji HostnameError.Error() nie ma limitu liczby wypisywanych hostów, a łańcuch błędu jest budowany przez wielokrotne konkatenacje, co prowadzi do kwadratowego czasu wykonania. Certyfikat dostarczony przez złośliwego aktora może spowodować nadmierne zużycie zasobów.
Ocena ryzyka
Atakujący może dostarczyć specjalnie spreparowany certyfikat, aby wywołać nadmierne zużycie CPU i pamięci, prowadząc do częściowej odmowy usługi.
Rekomendacja
Zaktualizuj bibliotekę do wersji zawierającej poprawkę ograniczającą liczbę wypisywanych hostów i optymalizującą budowę komunikatu błędu.
Inne podatności w Go crypto/x509
Zobacz wszystkie- CVE-2026-111943Nieznane
W bibliotece standardowej Go (pakiet crypto/x509) dodano listę blokowanych certyfikatów pośrednich, które nie są już uznawane za zaufane. Ma to chronić przed przypadkami, w których systemowe magazyny zaufania nie zostały zaktualizowane.
- CVE-2026-32280Wysokie
Podczas budowania łańcucha certyfikatów ilość wykonywanej pracy nie jest poprawnie ograniczana, gdy duża liczba certyfikatów pośrednich jest przekazywana w VerifyOptions.Intermediates, co może prowadzić do odmowy usługi. Dotyczy to zarówno bezpośrednich użytkowników crypto/x509, jak i crypto/tls.
Oryginalny opis (angielski, źródło NVD)
Within HostnameError.Error(), when constructing an error string, there is no limit to the number of hosts that will be printed out. Furthermore, the error string is constructed by repeated string concatenation, leading to quadratic runtime. Therefore, a certificate provided by a malicious actor can result in excessive resource consumption.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS