PT-2026-45873 · Go+2 · Go+2
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Go versões anteriores a 1.25-1.25.11-1.1
Go versões anteriores a 1.26-1.26.4-1.1
Description
Ocorre a análise ineficiente de nomes de host candidatos no pacote
crypto/x509. A função (*x509.Certificate).VerifyHostname anteriormente chamava matchHostnames() em um loop sobre todas as entradas de DNS Subject Alternative Name (SAN), fazendo com que strings.Split(host, ".") fosse executado repetidamente no mesmo nome de host de entrada. Com uma lista de DNS SAN extensa, os custos de verificação escalam quadraticamente com base no número de entradas SAN multiplicado pela contagem de rótulos do nome do host. Esse processamento excessivo ocorre mesmo para certificados não confiáveis, pois o x509.Verify valida os nomes de host antes de construir a cadeia de certificados.Recommendations
Atualize para a versão 1.25-1.25.11-1.1.
Atualize para a versão 1.26-1.26.4-1.1.
Correção
DoS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Go
Red Os
Rocky Linux