NVD / CVE Program· CNA Go

CVE-2026-33818: Enforce maximum recursion depth in encoding/asn1

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 30/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,56% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: Go standard library encoding/asn1 1.25.13, 1.26.6, 1.27.0-rc.3; azl3 golang 1.24.13-2 on Azure Linux 3.0 Release Notes.

Пока низкий приоритет. Обновитесь до Go standard library encoding/asn1 1.25.13, 1.26.6, 1.27.0-rc.3; azl3 golang 1.24.13-2 on Azure Linux 3.0 Release Notes или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Enforce a recursion limit in Unmarshal to prevent stack exhaustion when parsing deeply-nested, recursive structures.

ВысокаяCVSS 7.5 · v3.1—Эксплойта нет Есть исправление

Опубликовано: 13 авг. 2026 г.
Обновлено: 29 окт. 2026 г.
EPSS: 0,5 % · 46-й процентиль
CWE: CWE-400

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,5 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Go). Не зависят от анализа CPE в NVD и обычно опережают его.

Go standard library encoding/asn1
- до 1.25.13затронута · semver
- 1.26.0-0 и новее · до 1.26.6затронута · semver
- 1.27.0-0 и новее · до 1.27.0-rc.3затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
AlmaLinux:10	buildah	до 2:1.43.1-6.el10_2	2:1.43.1-6.el10_2
AlmaLinux:10	buildah	до 2:1.43.1-5.el10_2	2:1.43.1-5.el10_2
AlmaLinux:10	buildah-tests	до 2:1.43.1-5.el10_2	2:1.43.1-5.el10_2
AlmaLinux:10	buildah-tests	до 2:1.43.1-6.el10_2	2:1.43.1-6.el10_2
AlmaLinux:10	git-lfs	до 3.7.1-5.el10_2.7	3.7.1-5.el10_2.7
AlmaLinux:10	go-fdo-client	до 1.0.0-4.el10_2.7	1.0.0-4.el10_2.7
AlmaLinux:10	go-fdo-server	до 1.0.1-2.el10_2.4	1.0.1-2.el10_2.4
AlmaLinux:10	go-fdo-server-manufacturer	до 1.0.1-2.el10_2.4	1.0.1-2.el10_2.4
AlmaLinux:10	go-fdo-server-owner	до 1.0.1-2.el10_2.4	1.0.1-2.el10_2.4
AlmaLinux:10	go-fdo-server-rendezvous	до 1.0.1-2.el10_2.4	1.0.1-2.el10_2.4
AlmaLinux:10	go-toolset	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang-bin	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang-docs	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang-misc	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang-race	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang-src	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	golang-tests	до 1.26.7-1.el10_2.alma.1	1.26.7-1.el10_2.alma.1
AlmaLinux:10	grafana	до 10.2.6-28.el10_2.5	10.2.6-28.el10_2.5
AlmaLinux:10	grafana-pcp	до 5.3.0-8.el10_2.1	5.3.0-8.el10_2.1
AlmaLinux:10	grafana-selinux	до 10.2.6-28.el10_2.5	10.2.6-28.el10_2.5
AlmaLinux:10	ipp-usb	до 0.9.27-7.el10_2.3	0.9.27-7.el10_2.3
AlmaLinux:10	opentelemetry-collector	до 0.152.1-2.el10_2	0.152.1-2.el10_2
AlmaLinux:10	podman	до 7:5.8.2-9.el10_2.alma.1	7:5.8.2-9.el10_2.alma.1

+96

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Go standard library encoding/asn1	1.25.13	Вендор (CNA)
Go standard library encoding/asn1	1.26.6	Вендор (CNA)
Go standard library encoding/asn1	1.27.0-rc.3	Вендор (CNA)
azl3 golang 1.24.13-2 on Azure Linux 3.0	Release Notes	Microsoft (MSRC)
almalinux:delve	1.26.1-1.module_el8.10.0+4223+bd807c2e · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:go-fdo-client	1.0.0-4.el10_2.7 · AlmaLinux:10	Реестр пакетов (OSV)
almalinux:go-toolset	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang-bin	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang-docs	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang-misc	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang-race	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang-src	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:golang-tests	1.26.7-1.el9_8 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:grafana	10.2.6-23.el9_8.3 · AlmaLinux:9	Реестр пакетов (OSV)
almalinux:grafana-selinux	10.2.6-23.el9_8.3 · AlmaLinux:9	Реестр пакетов (OSV)
debian:golang-1.26	1.26.6-1 · Debian:14	Реестр пакетов (OSV)
debian:golang-1.27	1.27~rc3-1 · Debian:14	Реестр пакетов (OSV)
Go:stdlib	1.25.13	Реестр пакетов (OSV)
Go:stdlib	1.26.6	Реестр пакетов (OSV)
Go:stdlib	1.27.0-rc.3	Реестр пакетов (OSV)
opensuse:go1.25	1.25.13-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:go1.25-openssl	1.25.14-160000.1.1 · openSUSE:Leap 16.0	Реестр пакетов (OSV)
opensuse:go1.26	1.26.6-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:go1.26-openssl	1.26.7-160000.1.1 · openSUSE:Leap 16.0	Реестр пакетов (OSV)
opensuse:go1.27	1.27rc3-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:govulncheck-vulndb	0.0.20260827T195228-160000.1.1 · openSUSE:Leap 16.0	Реестр пакетов (OSV)
opensuse:rclone	1.75.1-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
red hat:go-toolset	0:1.26.7-1.el9_8 · Red Hat:enterprise_linux:9::appstream	Реестр пакетов (OSV)
red hat:golang	0:1.26.7-1.el9_8 · Red Hat:enterprise_linux:9::appstream	Реестр пакетов (OSV)

+36

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Marwan Atia (marwansamir688@gmail.com)

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: нет
Целостность: нет
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Нет
Влияние на целостность: Нет
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-400 · Uncontrolled Resource Consumption

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

nvd-secondary

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Ошибка в коде

Весь класс CWE-400

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1function expand(node) {
2  return node.children.map(expand);
3}

Исправленный код

1const MAX_DEPTH = 32;
2function expand(node, depth = 0) {
3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");
4  return node.children.map((c) => expand(c, depth + 1));
5}