CVE-2023-45287
highPriorität · verfolgen · 30EPSS 0.013 · 69. PerzentilDEEUUSEPSS · bewertet 2026-10-22
Before Go 1.20, the RSA based TLS key exchanges used the math/big library, which is not constant time. RSA blinding was applied to prevent timing attacks, but analysis shows this may not have been fully effective. In particular it appears as if the removal of PKCS#1 padding may leak timing information, which in turn could be used to recover session key bits. In Go 1.20, the crypto/tls library switched to a fully constant time RSA implementation, which we do not believe exhibits any timing side channels.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6.9–7.5
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (45)
Betroffene Produkte und Versionsbereiche.
- Red Hat Enterprise Linux Advanced Cluster Security for Kubernetes 4alle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:advanced_cluster_security_for_kubernetes_4
- Red Hat OpenShift CodeReady Workspacesalle Versionencert_bundDEcpe:/a:redhat:openshift:codeready_workspaces
- Red Hat OpenShift Custom Metric Autoscaler 2alle Versionencert_bundDEcpe:/a:redhat:openshift:custom_metric_autoscaler_2
- Red Hat OpenShift Kube Descheduler Operator 5alle Versionencert_bundDEcpe:/a:redhat:openshift:kube_descheduler_operator_5
Advisories (6)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2023-3059Golang Go: Schwachstelle ermöglicht Offenlegung von InformationenDeutsch2023-12-05csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Golang Go ausnutzen, um Informationen offenzulegen.
- WID-SEC-W-2024-0521IBM MQ: Mehrere SchwachstellenDeutsch2024-02-29csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in IBM MQ ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen oder einen Denial of Service Zustand herbeizuführen.
- WID-SEC-W-2024-1226Red Hat OpenShift: Mehrere SchwachstellenDeutsch2024-05-22csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Red Hat OpenShift ausnutzen, um Dateien zu manipulieren, einen Denial-of-Service-Zustand zu verursachen, beliebigen Code auszuführen, vertrauliche Informationen offenzulegen, seine Privilegien zu erweitern oder um weitere nicht spezifizierte Angriffe auszuführen.
- WID-SEC-W-2024-1228Red Hat OpenStack: Mehrere SchwachstellenDeutsch2024-05-22csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat OpenStack ausnutzen, um Sicherheitsmaßnahmen zu umgehen, eine Denial-of-Service-Zustand zu erzeugen, um vertrauliche Informationen offenzulegen und Daten zu ändern.
- BIT-golang-2023-45287Before Go 1.20, the RSA based key exchange methods in crypto/tls may exhibit a timing side channel2024-03-06vendor · osvUS
Before Go 1.20, the RSA based TLS key exchanges used the math/big library, which is not constant time. RSA blinding was applied to prevent timing attacks, but analysis shows this may not have been fully effective. In particular it appears as if the removal of PKCS#1 padding may leak timing information, which in turn could be used to recover session key bits. In Go 1.20, the crypto/tls library switched to a fully constant time RSA implementation, which we do not believe exhibits any timing side channels.
- GO-2023-2375Before Go 1.20, the RSA based key exchange methods in crypto/tls may exhibit a timing side channel2023-12-05vendor · osvUS
Before Go 1.20, the RSA based TLS key exchanges used the math/big library, which is not constant time. RSA blinding was applied to prevent timing attacks, but analysis shows this may not have been fully effective. In particular it appears as if the removal of PKCS#1 padding may leak timing information, which in turn could be used to recover session key bits. In Go 1.20, the crypto/tls library switched to a fully constant time RSA implementation, which we do not believe exhibits any timing side channels.
auch bekannt als (5)
Weitere Namen und Kennungen dieser Entität.
- CNNVD-202312-455cnnvd
- EUVD-2023-49587enisa_euvd
- GHSA-33qr-2xwr-95pwenisa_euvd
- BIT-golang-2023-45287osv
- GO-2023-2375osv
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (19)
Externe Belege — Patches, Meldungen, Analysen.
- https://github.com/golang/go/commit/8a81fdf165facdcefa06531de5af98a4db343035Patchcnnvd
- https://go.dev/cl/326012/26cnnvd
- https://go.dev/issue/20654cnnvd
- https://groups.google.com/g/golang-announce/c/QMK8IQALDvAcnnvd
- https://people.redhat.com/~hkario/marvin/cnnvd
- https://pkg.go.dev/vuln/GO-2023-2375cnnvd
- https://vigilance.fr/vulnerability/Go-information-disclosure-via-RSA-math-big-Library-43470cnnvd
- https://go.dev/cl/326012/26enisa_euvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan