Go crypto/x509 CVE-2026-32280 DoS Vulnerability and Fix Analysis

バグレポートの重要情報まとめ 1. バグ概要 CVE番号: CVE-2026-32280 バグの種類: サービス拒否 (DoS) / リソース枯渇 問題の説明: Go言語の パッケージにおいて、 関数は、多数の候補となる親証明書を含む中間証明書のプールを処理する際に、極端に低速な動作（病的な遅延）を示すことがあります。 根本原因: 関数が候補証明書を再帰的に走査する際、ループ防止機制である のチェックが不十分（subjectおよびSAN拡張フィールドの一致のみを確認）です。その結果、多くの類似した中間証明書が別個の証明書として認識され、検証器は署名チェックの制限に達する前に、多数の候補者に対して不要なチェーン構築を試行し、大量のCPUリソースを消費します。 2. 影響範囲 影響を受けるコンポーネント: パッケージ 影響を受けるバージョン: Go 1.25, Go 1.26 (および Go 1.27 開発版) トリガーとなるシナリオ: TLS/mTLSの設定において、サーバーがクライアント証明書の検証を行うように構成されている場合（例: または ）。 攻撃者が操作可能な中間証明書のプールを引数として渡して を呼び出すあらゆるアプリケーション。 3. 修正方法 修正内容: 内のチェーン構築ロジックを最適化し、潜在的な親証明書の処理を優先化しました。 署名チェックの制限（signature checking limit）を修正し、検証に失敗する経路が確定した場合、検証器は残りの候補者に対するチェーン構築のコストをさらに支払わないようにしました。 関連する修正コミット/PR: 関連ブランチ: , 。

目標達成 すべての支援者に感謝 — 100%達成しました！

Go crypto/x509 CVE-2026-32280 DoS Vulnerability and Fix Analysis

目標達成すべての支援者に感謝 — 100%達成しました！