PT-2024-2139 · Debian+10 · Debian+10
John Howard
·
Publicado
2024-03-05
·
Atualizado
2025-06-27
·
CVE-2024-24783
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
versões do crypto/tls (versões afetadas não especificadas)
golang (versões afetadas não especificadas)
Descrição
O problema ocorre ao verificar uma cadeia de certificados que contém um certificado com um algoritmo de chave pública desconhecido, fazendo com que o método
Certificate.Verify entre em pânico. Isso afeta todos os clientes e servidores crypto/tls que definem Config.ClientAuth como VerifyClientCertIfGiven ou RequireAndVerifyClientCert. O comportamento padrão para servidores TLS é não verificar certificados de cliente. Há também uma menção a uma vulnerabilidade no pacote golang do sistema operacional Debian GNU/Linux relacionada ao tratamento insuficiente de exceções, que pode ser explorada por um invasor remoto para causar uma negação de serviço (DoS).Recomendações
Para o crypto/tls, considere desativar a função Certificate.Verify até que um patch esteja disponível para evitar o panic ao encontrar algoritmos de chave pública desconhecidos.
Para o golang, restrinja o uso do pacote vulnerável para minimizar o risco de exploração até que uma correção seja fornecida.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
DoS
NULL Pointer Dereference
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Debian
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu