CVE-2026-32280
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podczas budowania łańcucha certyfikatów ilość wykonywanej pracy nie jest poprawnie ograniczana, gdy duża liczba certyfikatów pośrednich jest przekazywana w VerifyOptions.Intermediates, co może prowadzić do odmowy usługi. Dotyczy to zarówno bezpośrednich użytkowników crypto/x509, jak i crypto/tls.
Ocena ryzyka
Atakujący może przeciążyć serwer poprzez dostarczenie dużej liczby certyfikatów pośrednich, powodując odmowę usługi.
Rekomendacja
Zaleca się aktualizację Go do wersji zawierającej poprawkę oraz ograniczenie liczby certyfikatów pośrednich akceptowanych podczas weryfikacji.
Inne podatności w Go crypto/x509
Zobacz wszystkie- CVE-2026-111943Średnie
W bibliotece standardowej Go (pakiet crypto/x509) dodano listę blokowanych certyfikatów pośrednich, które nie są już uznawane za zaufane. Ma to chronić przed przypadkami, w których systemowe magazyny zaufania nie zostały zaktualizowane.
- CVE-2025-61729Wysokie
W funkcji HostnameError.Error() nie ma limitu liczby wypisywanych hostów, a łańcuch błędu jest budowany przez wielokrotne konkatenacje, co prowadzi do kwadratowego czasu wykonania. Certyfikat dostarczony przez złośliwego aktora może spowodować nadmierne zużycie zasobów.
Oryginalny opis (angielski, źródło NVD)
During chain building, the amount of work that is done is not correctly limited when a large number of intermediate certificates are passed in VerifyOptions.Intermediates, which can lead to a denial of service. This affects both direct users of crypto/x509 and users of crypto/tls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS