PT-2021-6078 · Go+6 · Go+6
Publicado
2021-02-19
·
Atualizado
2025-09-29
·
CVE-2021-34558
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Go até a 1.16.5
Descrição
O problema decorre de uma autenticação insuficiente de certificados no pacote crypto/tls da linguagem de programação Go. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. Especificamente, ao realizar uma troca de chaves baseada em RSA, um servidor TLS malicioso pode causar um erro grave (panic) no cliente TLS ao fornecer um certificado X.509 com um tipo de chave pública que não corresponde ao tipo esperado.
Recomendações
Para versões até 1.16.5, considere atualizar para uma versão que verifique adequadamente se o tipo de chave pública em um certificado X.509 corresponde ao tipo esperado ao realizar uma troca de chaves. Como solução temporária, restrinja o uso da troca de chaves baseada em RSA até que um patch esteja disponível. Além disso, tenha cuidado ao fornecer certificados para evitar causar um pânico nos clientes TLS. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Go
Red Hat
Rocky Linux
Suse