CVE-2025-61727
Mis à jour :
Violation de restriction de certificat dans Go
Une faille de sécurité a été identifiée dans les versions 1.25.5 et 1.24.11 du langage de programmation Go. Elle concerne la manière dont les contraintes de sous-domaines exclus dans une chaîne de certificats sont interprétées. Plus précisément, une contrainte visant à exclure un sous-domaine spécifique (par exemple, test.example.com) n’empêche pas l’utilisation d’un caractère générique (*) dans le champ “Subject Alternative Name” (SAN) du certificat final, permettant ainsi de revendiquer des noms tels que *.example.com.
Cette mauvaise interprétation peut être exploitée par un acteur malveillant pour contourner les restrictions de sécurité prévues lors de la validation des certificats.
Points Clés :
- Comportement incorrect : La restriction de sous-domaine exclus ne bloque pas l’utilisation de caractères génériques dans les certificats.
- Impact : Permet le contournement des contrôles de sécurité de validation de certificats.
Vulnérabilité :
- CVE : CVE-2025-61727
Recommandations :
- Les versions corrigées de Go sont 1.25.5 et 1.24.11. Il est conseillé de mettre à jour vers ces versions ou des versions ultérieures pour remédier à cette vulnérabilité.