Go 1.27.3 i 1.26.10 blokują osiem kluczy pośrednich nieujawnionego urzędu certyfikacji

Go 1.27.3 i Go 1.26.10, wydane 20 października, odrzucają każdy łańcuch certyfikatów przechodzący przez jeden z ośmiu kluczy pośrednich urzędów certyfikacji. Programy zbudowane na nowych wersjach zerwą połączenia z serwisami, których certyfikaty wydano pod tymi kluczami. Zespół Go nie podał nazwy urzędu, mówi o „konkretnych obawach dotyczących ich działania” i zaleca natychmiastową aktualizację.

Kogo dotyczy

Firmy, które budują lub uruchamiają programy w Go. Według dopasowania skrótów, którego The Hacker News nie zweryfikował niezależnie, sześć kluczy to pośrednie certyfikaty TLS spod głównego certyfikatu emSign firmy eMudhra, a dwa służą do podpisywania kodu. 17 października Mozilla zablokowała w Firefoksie sześć certyfikatów spod tego samego głównego. Filtr działa także na macOS i Windows oraz przy własnym zestawie zaufanych certyfikatów głównych. Nie da się go wyłączyć.

Co zrobić

Zaktualizuj Go do wersji 1.27.3 lub 1.26.10. Odrzucony łańcuch zwraca błąd x509: no valid chains built, co pozwala rozpoznać serwisy objęte blokadą.