FreeBSD：go -- crypto/tls：ネゴシエートされたパラメーターに対して間違ったタイプの証明書が提供される場合に、クライアントがパニックを引き起こす可能性があります（c365536d-e3cf-11eb-9d8d-b37b683944c2）

medium Nessus プラグイン ID 151624

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

Goプロジェクトによる報告：

crypto/tlsクライアントは、ネゴシエートされたパラメーターに対して間違ったタイプの証明書が提供された場合、パニックに陥る可能性があります。HTTPSリクエストを実行するnet/httpクライアントも影響を受けます。サーバーの信頼できるECDSAまたはEd25519証明書が存在する（または発行できる）、あるいはクライアントがConfig.InsecureSkipVerifyで構成されている限り、権限のあるネットワークポジションにいる攻撃者がサーバー証明書の秘密鍵のアクセス権がなくても、パニックを引き起こす可能性があります。すべてのTLS_RSA暗号化パッケージ（つまり、ECDHEのないTLS 1.0-1.2暗号化パッケージ）を無効にするクライアント、およびTLS 1.3のみのクライアントは、影響を受けません。