CVE-2021-34558: The crypto/tls package of Go through 1.16.5 does not properly assert that the type of public key in an X.509 certificate matches the expecte

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• fedoraproject fedora33
• fedoraproject fedora34
• golang goдо 1.15.14
• golang go1.16.0 и новее · до 1.16.6
• netapp cloud insights telegrafвсе версии
• netapp storagegridвсе версии
• netapp tridentвсе версии
• oracle timesten in-memory databaseдо 21.1.1.1.0

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-7187The "go get" implementation in Go 1.9.4, when the -insecure command-line option is used, does not validate the import path (get/vcs.go only
  54В плане
• CVE-2018-16873In Go before 1.10.6 and 1.11.x before 1.11.3, the "go get" command is vulnerable to remote code execution when executed with the -u flag and
  52В плане
• CVE-2021-38297Go before 1.16.9 and 1.17.x before 1.17.2 has a Buffer Overflow via large arguments in a function invocation from a WASM module, when GOARCH
  42В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-3152527 мая 2021 г. · net/http in Go before 1.15.12 and 1.16.x before 1.16.4 allows remote attackers to cause a denial of service (panic) via a large header to Re
  24Наблюдать
• ← РаньшеCVE-2012-26669 июл. 2021 г. · golang/go in 1.0.2 fixes all.bash on shared machines.
  40В плане
• Позже →CVE-2021-331952 авг. 2021 г. · Go before 1.15.13 and 1.16.x before 1.16.5 has functions for DNS lookups that do not validate replies from DNS servers, and thus a return va
  30Наблюдать

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Оставлено пустым для тестовой среды3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.