CVE-2021-34558
Il pacchetto crypto/tls di Go fino alla versione 1.16.5 non verifica correttamente che il tipo di chiave pubblica in un certificato X.509 corrisponda al...
- Pubblicato
- 15 lug 2021
- Aggiornato
- 4 ago 2024
- Assegnazione CNA
- mitre
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:HBasso · prossimi 30 giorni
- Percentile
- 94,1%
- Data del modello
- 18 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il pacchetto crypto/tls di Go fino alla versione 1.16.5 non verifica correttamente che il tipo di chiave pubblica in un certificato X.509 corrisponda al tipo previsto quando si esegue uno scambio di chiavi basato su RSA, consentendo a un server TLS malintenzionato di indurre il panic in un client TLS.
Fonti
Proof-of-concept per CVE-2021-34558, che dimostra un panic nell'handshake TLS in crypto/tls di Go tramite un server malintenzionato con certificato e cifrario non corrispondenti.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.