30秒で判断
- 対応すべき人:
golang.org/x/crypto/ssh/agentを使って鍵をリモートエージェントへ転送しているツール・サービスの開発者 - 対応不要な人: 当該パッケージを使用していない場合、宛先制限（destination constraints）を利用していない場合、すでに修正版へ更新済みの場合
- 確認方法:
go list -m golang.org/x/cryptoで利用中バージョンを確認する
概要
golang.org/x/crypto/ssh/agent において、リモートエージェントへ鍵を追加する際に restrict-destination-v00@openssh.com などの制約拡張がリクエストへシリアライズされていませんでした。このため、鍵を転送する際に本来付与されるはずの宛先制限が黙って外され、転送先のリモートホストで鍵が無制限に利用できてしまう可能性があります。修正版ではクライアントがすべての制約拡張をシリアライズするようになり、加えて NewKeyring() が返すインメモリキーリングは、サポートされない制約拡張を持つ鍵を黙って無視せず拒否するようになりました。
CVSSベクトル
| 項目 | 評価 |
|---|---|
| CVSS スコア | 9.1（Critical） |
| 攻撃元区分 (AV) | ネットワーク |
| 必要な権限 (PR) | なし |
| ユーザー関与 (UI) | 不要 |
| CWE | CWE-863（不適切な認可） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| golang.org/x/crypto | Go (golang.org/x) | < 0.52.0 |
修正バージョンと回避策
golang.org/x/crypto を 0.52.0 以降へアップデートしてください。go get golang.org/x/crypto@latest で更新し、go.mod / go.sum を反映のうえ再ビルドします。宛先制限に依存してアクセス範囲を絞っている場合は、影響の大きい脆弱性のため優先的に対応してください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。