Уязвимость паники в модулях "crypto/tls" из-за обработки больших записей TLS handshake
Описание
Большие записи TLS handshake вызывают аварийное завершение работы в модулях crypto/tls. Клиенты и серверы TLS 1.3, а также клиенты TLS 1.2, которые явно включают возобновление сессий, и серверы TLS 1.3, запрашивающие клиентские сертификаты, испытывают проблемы при обработке таких записей, что приводит к их аварийному завершению работы.
Затронутые версии ПО
- TLS 1.3 клиенты
- TLS 1.2 клиенты с включенной функцией возобновления сессии (установка
Config.ClientSessionCacheв ненулевое значение) - TLS 1.3 серверы, запрашивающие клиентские сертификаты (
Config.ClientAuth >= RequestClientCert)
Тип уязвимости
Паника
Ссылки
- PatchRelease Notes
- Issue TrackingPatchVendor Advisory
- Mailing ListVendor Advisory
- Vendor Advisory
- PatchRelease Notes
- Issue TrackingPatchVendor Advisory
- Mailing ListVendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Одно из
EPSS
7.5 High
CVSS3
Дефекты
Связанные уязвимости
Large handshake records may cause panics in crypto/tls. Both clients and servers may send large TLS handshake records which cause servers and clients, respectively, to panic when attempting to construct responses. This affects all TLS 1.3 clients, TLS 1.2 clients which explicitly enable session resumption (by setting Config.ClientSessionCache to a non-nil value), and TLS 1.3 servers which request client certificates (by setting Config.ClientAuth >= RequestClientCert).
Large handshake records may cause panics in crypto/tls. Both clients and servers may send large TLS handshake records which cause servers and clients, respectively, to panic when attempting to construct responses. This affects all TLS 1.3 clients, TLS 1.2 clients which explicitly enable session resumption (by setting Config.ClientSessionCache to a non-nil value), and TLS 1.3 servers which request client certificates (by setting Config.ClientAuth >= RequestClientCert).
Large handshake records may cause panics in crypto/tls. Both clients a ...
Large handshake records may cause panics in crypto/tls. Both clients and servers may send large TLS handshake records which cause servers and clients, respectively, to panic when attempting to construct responses. This affects all TLS 1.3 clients, TLS 1.2 clients which explicitly enable session resumption (by setting Config.ClientSessionCache to a non-nil value), and TLS 1.3 servers which request client certificates (by setting Config.ClientAuth >= RequestClientCert).
Уязвимость пакета crypto/tls языка программирования Golang, позволяющая нарушителю вызвать отказ в обслуживании
EPSS
7.5 High
CVSS3