CVE-2024-1394

Golang'in RSA şifreleme/şifre çözme kodunda, saldırgan tarafından kontrol edilen girdiler kullanılarak kaynak tükenmesi zafiyetine yol açabilecek bir bellek sızıntısı hatası bulundu. Bellek sızıntısı github.com/golang-fips/openssl/openssl/rsa.go#L113 konumunda gerçekleşmektedir. Sızdırılan nesneler pkey ve ctx'dir. Söz konusu fonksiyon; bağlamın başlatılması veya farklı özelliklerin ayarlanması sırasında bir hata oluşursa pkey ve ctx nesnelerini serbest bırakmak için adlandırılmış dönüş parametrelerini kullanır. Hata durumlarıyla ilgili tüm return ifadeleri "return nil, nil, fail(...)" kalıbını takip etmektedir; bu da onları serbest bırakması gereken ertelenmiş (deferred) fonksiyon içerisinde pkey ve ctx değerlerinin nil olacağı anlamına gelir.