Jakub Ciolek

Em servidores HTTP/1, ocorre uma condição de corrida quando o limite do `MaxBytesReader` é excedido. O servidor define automaticamente o cabeçalho "Connection: close" sem a sincronização adequada, o que pode conflitar com outro cabeçalho definido explicitamente no manipulador do servidor. Isso pode levar a um pânico de tempo de execução (runtime panic) e fazer com que o servidor trave se o manipulador ler o corpo da requisição simultaneamente à escrita do cabeçalho de resposta.

Ocorre um consumo excessivo de CPU ao analisar um cabeçalho Range que contém um grande número de intervalos pequenos. Este problema afeta as funções `FileServer(FS)`, `ServeContent` e `ServeFile(FS)`.

A análise de um formulário multipart pode ignorar os limites de memória, permitindo que uma linha arbitrariamente longa seja lida na memória. Isso ocorre quando o limite restante no início de uma parte é inferior a 400 bytes.

Um manipulador de servidor HTTP continua improperiamente a ler e a atender solicitações de uma conexão após enviar uma resposta 2xx a uma solicitação HTTP/1 CONNECT sem sequestrar a conexão. Como uma resposta 2xx a um HTTP/1 CONNECT destina-se a converter a conexão em um túnel, o servidor não deve tratar a conexão como HTTP. Esse comportamento pode levar ao request smuggling (contrabando de requisições), uma técnica onde um invasor interfere na maneira como um site processa sequências de solicitações HTTP, ocorrendo quando um proxy intermediário considera os dados da conexão como tunelados enquanto o servidor os interpreta como HTTP.

Um peer HTTP/2 malicioso pode causar consumo excessivo de CPU no cliente ou servidor. Isso ocorre quando o peer abre um grande número de streams e, subsequentemente, envia inúmeros frames SETTINGS pequenos contendo valores de `SETTINGS INITIAL WINDOW SIZE`.

Uma imagem maliciosamente criada pode causar uma condição de Negação de Serviço (DoS). Quando um contêiner é criado a partir de tal imagem, ocorre a exaustão de memória, resultando em um encerramento por falta de memória (Out Of Memory - OOM) do processo containerd. Esta ação torna a API de tempo de execução do contêiner indisponível e pode interromper clientes, incluindo o Docker Engine ou componentes do plano de controle do Kubernetes.

Ocorre a análise ineficiente de nomes de host candidatos no pacote `crypto/x509`. A função `(*x509.Certificate).VerifyHostname` anteriormente chamava `matchHostnames()` em um loop sobre todas as entradas de DNS Subject Alternative Name (SAN), fazendo com que `strings.Split(host, ".")` fosse executado repetidamente no mesmo nome de host de entrada. Com uma lista de DNS SAN extensa, os custos de verificação escalam quadraticamente com base no número de entradas SAN multiplicado pela contagem de rótulos do nome do host. Esse processamento excessivo ocorre mesmo para certificados não confiáveis, pois o `x509.Verify` valida os nomes de host antes de construir a cadeia de certificados.

Name of the Vulnerable Software and Affected Versions tar.Reader (affected versions not specified) Description tar.Reader pode alocar uma quantidade ilimitada de memória ao processar um arquivo maliciosamente criado contendo numerosas regiões esparsas codificadas usando o formato "old GNU sparse map". Isso pode levar ao consumo excessivo de memória e potencialmente causar uma condição de negação de serviço. Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Existe uma falha na qual a verificação de certificado pode levar à queda do programa. Isso ocorre quando um certificado dentro de uma cadeia não possui um nome DNS, enquanto outro certificado na mesma cadeia possui restrições de nome excluídas. Este problema afeta programas que verificam diretamente cadeias de certificados X.509 ou aqueles que utilizam TLS. O problema afeta 27 imagens base do Lambda que utilizam stdlib.

Existe uma falha nas imagens base do AWS Lambda que utilizam stdlib. Especificamente, ao validar uma cadeia de certificados com múltiplas restrições de endereço de e-mail que compartilham partes locais comuns, mas diferem nas partes de domínio, as restrições não são aplicadas corretamente. Apenas a última restrição na cadeia é considerada durante a verificação.

Os servidores do Agente SSH não verificam adequadamente o tamanho das mensagens ao processar novas solicitações de identidade. Isso pode levar a uma falha no programa, especificamente um pânico, caso uma mensagem malformada, criada deliberadamente, cause uma leitura fora dos limites.

Servidores SSH que processam solicitações de autenticação GSSAPI estão suscetíveis a uma falha na qual o número de mecanismos incluídos na solicitação não é validado. Isso pode levar a um uso excessivo de memória, potencialmente causando uma condição de negação de serviço.

Clientes SSH podem sofrer um pânico e encerramento prematuro do processo do cliente ao receber uma resposta SSH AGENT SUCCESS enquanto esperam uma resposta tipada. Isso pode levar a interrupções nas sessões SSH.

A função `html.Parse` apresenta complexidade de análise quadrática ao lidar com entradas específicas. Isso pode resultar em negação de serviço (DoS) caso um atacante envie conteúdo HTML maliciosamente elaborado.

O software apresenta complexidade quadrática ao verificar restrições de nome na validação de certificados X.509. Isso pode resultar em problemas de desempenho durante a verificação de certificados.

A função `Reader.ReadResponse` no pacote `net/textproto` apresenta consumo excessivo de CPU.

O software apresenta complexidade quadrática durante a análise de determinadas entradas inválidas ao lidar com dados codificados em PEM. Isso pode levar a problemas de desempenho.

A linguagem de programação Go contém uma falha no componente `crypto/x509` onde a validação de cadeias de certificados com chaves públicas DSA pode levar a um pânico no programa devido a uma conversão de interface incorreta. Isso ocorre porque o código espera que as chaves públicas DSA implementem o método `Equal`. A exploração desta questão por um atacante remoto pode resultar em uma condição de negação de serviço. Além disso, o OpenTofu é afetado por um problema de negação de serviço na função "tofu init" ao processar respostas de pacotes de módulos criadas maliciosamente. O Fedora lançou atualizações para containernetworking-plugins, Gobuster e complyctl para corrigir vulnerabilidades de segurança, incluindo a CVE-2025-58188.

The issue is a memory exhaustion flaw in the encoding/asn1 package of the Go programming language. The code pre-allocates memory based on fields within a DER structure before fully validating the correctness or content of those fields. Processing a maliciously crafted DER payload can lead to excessive memory allocation, potentially causing a denial-of-service condition. The vulnerability also affects OpenTofu, causing a denial of service in the `tofu init` function when processing maliciously crafted module package responses.

A linguagem de programação Go contém uma falha na funcionalidade archive/zip que pode levar a uma negação de serviço. Especificamente, arquivos ZIP manipulados podem desencadear processamento superlinear e consumo excessivo de recursos de memória e CPU quando abertos, potencialmente causando uma interrupção do serviço. Este problema afeta serviços de backend e pipelines de build que analisam automaticamente o conteúdo ZIP.