CVE-2023-29409
Açıklama
Sertifika zincirlerindeki aşırı büyük RSA anahtarları, bir istemcinin veya sunucunun imzaları doğrulamak için önemli miktarda CPU zamanı harcamasına neden olabilir. Düzeltme ile birlikte, el sıkışmaları sırasında iletilen RSA anahtarlarının boyutu <= 8192 bit ile sınırlandırılmıştır. Genel olarak güvenilen RSA anahtarları üzerinde yapılan bir araştırmaya göre, şu anda dolaşımda olan ve bu değerden daha büyük anahtarlara sahip yalnızca üç sertifika bulunmaktadır ve her üçü de aktif olarak konuşlandırılmamış test sertifikaları gibi görünmektedir. Özel PKI'larda daha büyük anahtarların kullanılıyor olması mümkündür ancak hedefimiz web PKI olduğu için, crypto/tls kullanıcılarının varsayılan güvenliğini artırmak adına burada oluşabilecek aksamalara yol açmak makul görünmektedir.
Nasıl düzeltilir
- golang go1.19.12, 1.20.7 ya da sonraki bir sürüm
- stdlib1.19.12, 1.20.7, 1.21.0-rc.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| golang go | v < 1.19.12, 1.20.0 ≤ v < 1.20.7, 1.21.0 | 1.19.12, 1.20.7 |
| stdlibGo | v < 1.19.12, 1.20.0-0 ≤ v < 1.20.7, 1.21.0-0 ≤ v < 1.21.0-rc.4 | 1.19.12, 1.20.7, 1.21.0-rc.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.