CVE-2026-111943
NieznaneStreszczenie
W bibliotece standardowej Go (pakiet crypto/x509) dodano listę blokowanych certyfikatów pośrednich, które nie są już uznawane za zaufane. Ma to chronić przed przypadkami, w których systemowe magazyny zaufania nie zostały zaktualizowane.
Ocena ryzyka
Organizacje korzystające z Go mogą nadal ufać certyfikatom pośrednim, które powinny być odrzucane, co może umożliwić podszycie się pod zaufany serwer TLS.
Rekomendacja
Zaktualizuj środowisko Go do wersji zawierającej tę listę blokowanych certyfikatów oraz upewnij się, że systemowe magazyny zaufania są aktualne.
Inne podatności w Go crypto/x509
Zobacz wszystkie- CVE-2026-32280Wysokie
Podczas budowania łańcucha certyfikatów ilość wykonywanej pracy nie jest poprawnie ograniczana, gdy duża liczba certyfikatów pośrednich jest przekazywana w VerifyOptions.Intermediates, co może prowadzić do odmowy usługi. Dotyczy to zarówno bezpośrednich użytkowników crypto/x509, jak i crypto/tls.
- CVE-2025-61729Wysokie
W funkcji HostnameError.Error() nie ma limitu liczby wypisywanych hostów, a łańcuch błędu jest budowany przez wielokrotne konkatenacje, co prowadzi do kwadratowego czasu wykonania. Certyfikat dostarczony przez złośliwego aktora może spowodować nadmierne zużycie zasobów.
Oryginalny opis (angielski, źródło NVD)
On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when calling Verify with any of the known intermediate certificates that are no longer considered to be trustworthy.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS