Jakub Ciolek

**Nome do Software Vulnerável e Versões Afetadas** containerd versões anteriores a 2.3.2 containerd versões anteriores a 2.2.5 containerd versões anteriores a 2.1.9 containerd versões anteriores a 2.0.10 containerd versões anteriores a 1.7.33 **Description** Uma imagem maliciosamente criada pode causar uma condição de Negação de Serviço (DoS). Quando um contêiner é criado a partir de tal imagem, ocorre a exaustão de memória, resultando em um encerramento por falta de memória (Out Of Memory - OOM) do processo containerd. Esta ação torna a API de tempo de execução do contêiner indisponível e pode interromper clientes, incluindo o Docker Engine ou componentes do plano de controle do Kubernetes. **Recommendations** Atualize para a versão 2.3.2. Atualize para a versão 2.2.5. Atualize para a versão 2.1.9. Atualize para a versão 2.0.10. Atualize para a versão 1.7.33. Certifique-se de que apenas imagens confiáveis sejam usadas e que apenas usuários confiáveis tenham permissões para importar imagens ou agendar pods.

**Nome do Software Vulnerável e Versões Afetadas** Go versões anteriores a 1.25-1.25.11-1.1 Go versões anteriores a 1.26-1.26.4-1.1 **Description** Ocorre a análise ineficiente de nomes de host candidatos no pacote `crypto/x509`. A função `(*x509.Certificate).VerifyHostname` anteriormente chamava `matchHostnames()` em um loop sobre todas as entradas de DNS Subject Alternative Name (SAN), fazendo com que `strings.Split(host, ".")` fosse executado repetidamente no mesmo nome de host de entrada. Com uma lista de DNS SAN extensa, os custos de verificação escalam quadraticamente com base no número de entradas SAN multiplicado pela contagem de rótulos do nome do host. Esse processamento excessivo ocorre mesmo para certificados não confiáveis, pois o `x509.Verify` valida os nomes de host antes de construir a cadeia de certificados. **Recommendations** Atualize para a versão 1.25-1.25.11-1.1. Atualize para a versão 1.26-1.26.4-1.1.

Name of the Vulnerable Software and Affected Versions tar.Reader (affected versions not specified) Description tar.Reader pode alocar uma quantidade ilimitada de memória ao processar um arquivo maliciosamente criado contendo numerosas regiões esparsas codificadas usando o formato "old GNU sparse map". Isso pode levar ao consumo excessivo de memória e potencialmente causar uma condição de negação de serviço. Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AWS Lambda (versões afetadas não especificadas) **Descrição** Existe uma falha nas imagens base do AWS Lambda que utilizam stdlib. Especificamente, ao validar uma cadeia de certificados com múltiplas restrições de endereço de e-mail que compartilham partes locais comuns, mas diferem nas partes de domínio, as restrições não são aplicadas corretamente. Apenas a última restrição na cadeia é considerada durante a verificação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** AWS Lambda (versões afetadas não especificadas) **Descrição** Existe uma falha na qual a verificação de certificado pode levar à queda do programa. Isso ocorre quando um certificado dentro de uma cadeia não possui um nome DNS, enquanto outro certificado na mesma cadeia possui restrições de nome excluídas. Este problema afeta programas que verificam diretamente cadeias de certificados X.509 ou aqueles que utilizam TLS. O problema afeta 27 imagens base do Lambda que utilizam stdlib. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Servidores SSH (versões afetadas não especificadas) **Descrição** Servidores SSH que processam solicitações de autenticação GSSAPI estão suscetíveis a uma falha na qual o número de mecanismos incluídos na solicitação não é validado. Isso pode levar a um uso excessivo de memória, potencialmente causando uma condição de negação de serviço. **Recomendações** Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Agente SSH (versões afetadas não especificadas) **Descrição** Os servidores do Agente SSH não verificam adequadamente o tamanho das mensagens ao processar novas solicitações de identidade. Isso pode levar a uma falha no programa, especificamente um pânico, caso uma mensagem malformada, criada deliberadamente, cause uma leitura fora dos limites. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Clientes SSH (versões afetadas não especificadas) **Descrição** Clientes SSH podem sofrer um pânico e encerramento prematuro do processo do cliente ao receber uma resposta SSH AGENT SUCCESS enquanto esperam uma resposta tipada. Isso pode levar a interrupções nas sessões SSH. **Recomendações** Até o momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** golang.org/x/net/html (versões afetadas não especificadas) **Descrição** A função `html.Parse` apresenta complexidade de análise quadrática ao lidar com entradas específicas. Isso pode resultar em negação de serviço (DoS) caso um atacante envie conteúdo HTML maliciosamente elaborado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Go versions prior to 1.24.9-alt1 OpenTofu versions <=2.10.0 **Description** The issue is a memory exhaustion flaw in the encoding/asn1 package of the Go programming language. The code pre-allocates memory based on fields within a DER structure before fully validating the correctness or content of those fields. Processing a maliciously crafted DER payload can lead to excessive memory allocation, potentially causing a denial-of-service condition. The vulnerability also affects OpenTofu, causing a denial of service in the `tofu init` function when processing maliciously crafted module package responses. **Recommendations** Go versions prior to 1.24.9-alt1: Upgrade to version 1.24.9-alt1 or later. OpenTofu versions <=2.10.0: Update to a version greater than 2.10.0.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Go anteriores a 1.24.12 Versões do Go anteriores a 1.25.6 **Descrição** A linguagem de programação Go contém uma falha na funcionalidade archive/zip que pode levar a uma negação de serviço. Especificamente, arquivos ZIP manipulados podem desencadear processamento superlinear e consumo excessivo de recursos de memória e CPU quando abertos, potencialmente causando uma interrupção do serviço. Este problema afeta serviços de backend e pipelines de build que analisam automaticamente o conteúdo ZIP. **Recomendações** Atualize para a versão 1.24.12 do Go ou posterior. Atualize para a versão 1.25.6 do Go ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Go anteriores a 1.24.9-alt1 Versão 3.8.2 do Gobuster complyctl (versões afetadas não especificadas) Versão 1.9.0 do containernetworking-plugins OpenTofu (versões afetadas não especificadas) **Descrição** A linguagem de programação Go contém uma falha no componente `crypto/x509` onde a validação de cadeias de certificados com chaves públicas DSA pode levar a um pânico no programa devido a uma conversão de interface incorreta. Isso ocorre porque o código espera que as chaves públicas DSA implementem o método `Equal`. A exploração desta questão por um atacante remoto pode resultar em uma condição de negação de serviço. Além disso, o OpenTofu é afetado por um problema de negação de serviço na função "tofu init" ao processar respostas de pacotes de módulos criadas maliciosamente. O Fedora lançou atualizações para containernetworking-plugins, Gobuster e complyctl para corrigir vulnerabilidades de segurança, incluindo a CVE-2025-58188. **Recomendações** Atualize o Go para a versão 1.24.9-alt1 ou posterior. Atualize o Gobuster para a versão 3.8.2. Aplique as últimas atualizações de segurança para o complyctl. Atualize o containernetworking-plugins para a versão 1.9.0. Aplique as últimas atualizações de segurança para o OpenTofu.

**Nome do Software Vulnerável e Versões Afetadas** Versões do golang 1.15 Versões do golang 1.19 **Descrição** O software apresenta complexidade quadrática ao verificar restrições de nome na validação de certificados X.509. Isso pode resultar em problemas de desempenho durante a verificação de certificados. **Recomendações** Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** versões do golang 1.15 versões do golang 1.19 **Descrição** O software apresenta complexidade quadrática durante a análise de determinadas entradas inválidas ao lidar com dados codificados em PEM. Isso pode levar a problemas de desempenho. **Recomendações** Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** versões do golang 1.15 versões do golang 1.19 **Descrição** A função `Reader.ReadResponse` no pacote `net/textproto` apresenta consumo excessivo de CPU. **Recomendações** Atualize para uma versão mais recente do golang que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Argo CD 2.4 a 2.10.2 Versões do Argo CD 2.4 a 2.9.7 Versões do Argo CD 2.4 a 2.8.11 **Descrição** O problema está relacionado à função `loadRepoIndex()` no pacote Helm do Argo CD, que não limita o tamanho ou o tempo durante a obtenção de dados de um registro Helm. Isso pode levar a um vetor de ataque de negação de serviço, no qual o componente do servidor de repositório pode travar devido a um erro de memória insuficiente ao ser direcionado para um registro Helm malicioso. Se o registro for implementado para enviar dados continuamente, o servidor de repositório continuará alocando memória até que ela se esgote. **Recomendações** Para as versões 2.4 a 2.10.2, atualize para a versão 2.10.3 ou posterior. Para as versões 2.4 a 2.9.7, atualize para a versão 2.9.8 ou posterior. Para as versões 2.4 a 2.8.11, atualize para a versão 2.8.12 ou posterior. Como solução temporária, considere restringir o acesso à função vulnerável `loadRepoIndex()` no pacote Helm do Argo CD até que um patch esteja disponível.