PT-2020-13858 · Google+2 · Go+2
Publicado
2020-02-28
·
Atualizado
2024-06-15
·
CVE-2020-14039
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do Go anteriores à 1.13.13
Versões do Go 1.14.x anteriores à 1.14.5
Descrição
O problema diz respeito à verificação incompleta de certificados X.509. Especificamente, em determinadas condições no Windows, a função
Certificate. Verify pode não verificar os requisitos EKU especificados em VerifyOptions.KeyUsages se VerifyOptions.Roots for nulo. Isso poderia permitir que um certificado fosse usado para uma finalidade não pretendida.Recomendações
Para versões do Go anteriores à 1.13.13, atualize para a versão 1.13.13 ou posterior.
Para versões do Go 1.14.x anteriores à 1.14.5, atualize para a versão 1.14.5 ou posterior.
Como solução alternativa temporária, considere garantir que
VerifyOptions.Roots não seja nulo ao usar Certificate.Verify em instalações do Windows para garantir a verificação adequada dos requisitos de EKU.Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Go
Suse