GO-2022-0191

vendorUSosv

Denial of service in chain verification in crypto/x509

Advisory ansehen veröffentlicht 2022-07-15Lizenz: per source

The crypto/x509 package does not limit the amount of work performed for each chain verification, which might allow attackers to craft pathological inputs leading to a CPU denial of service. Go TLS servers accepting client certificates and TLS clients verifying certificates are affected.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2018-16875US	high7.5	6.38% (94th)	—	2018-12-14
The crypto/x509 package of Go before 1.10.6 and 1.11.x before 1.11.3 does not limit the amount of work performed for each chain verification, which might allow attackers to craft p…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

https://go.dev/cl/154105FIX
https://go.dev/issue/29233REPORT
https://go.googlesource.com/go/+/770130659b6fb2acf271476579a3644e093dda7fFIX
https://groups.google.com/g/golang-announce/c/Kw31K8G7Fi0WEB

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan