概要
Goの crypto/x509 パッケージにおいて、除外DNS制約（excluded DNS constraints）を含む証明書チェーンの検証時に、ワイルドカードDNS SANが制約と異なる大文字小文字を使用している場合、制約が正しく適用されない脆弱性があります。
この問題は、VerifyOptions.Roots の CertPool またはシステム証明書プールに含まれる信頼されたルートCAが発行した証明書チェーンの検証にのみ影響します。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 8.2（High） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
| CWE | CWE-295（証明書検証の不備） |
影響を受けるソフトウェア
| パッケージ | 修正情報 |
|---|---|
| Go (crypto/x509) | CL 763763 で修正 |
修正バージョンと回避策
Goの最新パッチバージョンへのアップデートで修正されます。証明書チェーンで除外DNS制約を使用している環境では早めのアップデートを推奨します。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。