脆弱性サマリー 脆弱性情報 Go 1.26.1 およびそれ以前のバージョンでは、 パッケージの 関数において、多数の （ポリシーマッピング）拡張を含む証明書のチェーンを処理する際、二次時間計算量（Quadratic Complexity）のパフォーマンス上の欠陥が存在します。 トリガー条件： 候補となる証明書チェーンが信頼されたルートまで構築され、かつ中間証明書に抑制フラグ（InhibitPolicyMapping=0）が設定されていない大規模なポリシーマッピングが含まれている場合。 影響： 検証プロセスが極めて遅くなり、検証時間は の数に対して二次関数的に増加します（例：ベースラインの 79ms から 3715ms に急増）。これにより、サービス運用妨害（DoS）攻撃の原因となります。 原因： 関数がループ内でポリシーの剪定処理（ ）を繰り返し実行しており、構築済みのグラフに対して重複したスキャンが行われるため。 影響範囲 影響を受けるバージョン： Go 1.26.1（およびそれ以前のバージョン）。 影響を受けるコンポーネント： パッケージ。 適用シナリオ： Go の標準ライブラリを使用して証明書チェーンを検証するすべてのアプリケーション、特に mTLS やプライベート PKI サービスに関与するシナリオ。 CVE ID： CVE-2026-32281 修正ソリューション 核心的な修正： のロジックを変更し、ポリシー剪定処理をループの外側に移動（hoist policy pruning out of loop）させ、ループ内での同一処理の繰り返しを回避します。 関連コード変更 / Issue： main ブランチ用修正 PR: (cl/75896) Go 1.25 へのバックポート：Issue #78359 Go 1.26 へのバックポート：Issue #78360