p PatchFirst

PatchFirst · Свежие уязвимости

Уязвимости golang-go.crypto

За последние 30 дней в golang-go.crypto опубликовано уязвимостей: 0; в каталоге KEV: 0.

RSS ↗ JSON ↗
Фильтры уязвимостей
Сбросить фильтры

Уязвимостей: 14

  1. CVE-2026-56854

    Высокий · CVSS 7.5EPSS 0,44%Нет опубликованного исправления

    Source-address critical option not enforced for non-public-key auth callbacks in golang.org/x/crypto/ssh

    The source-address critical option in the Permissions returned by an authentication callback was only enforced for the PublicKeyCallback and VerifiedPublicKeyCallback paths, extending the fix for CVE-2026-46595. Permissions returned by the PasswordCallback, KeyboardInteractiveCallback, NoClientAuthCallback, and GSSAPIWithMICConfig.AllowLogin callbacks were not validated against the client's remote address, so a source-address restriction set by those callbacks was silently ignored. The check is now applied to the Permissions returned by any authentication callback.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  2. CVE-2026-46598

    Средний · CVSS 5.3EPSS 0,41%Нет опубликованного исправления

    Invoking pathological inputs can lead to client panic in golang.org/x/crypto/ssh/agent

    For certain crafted inputs, a 'ed25519.PrivateKey' was created by casting malformed wire bytes, leading to a panic when used.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  3. CVE-2026-39829

    Высокий · CVSS 7.5EPSS 0,47%Нет опубликованного исправления

    Invoking pathological RSA/DSA parameters may cause DoS in golang.org/x/crypto/ssh

    The RSA and DSA public key parsers did not enforce size limits on key parameters. A crafted public key with an excessively large modulus or DSA parameter could cause several minutes of CPU consumption during signature verification. This could be triggered by unauthenticated clients during public key authentication. RSA moduli are now limited to 8192 bits, and DSA parameters are validated per FIPS 186-2.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  4. CVE-2026-39827

    Средний · CVSS 6.5EPSS 0,28%Нет опубликованного исправления

    Invoking memory leak when rejecting channels can lead to DoS in golang.org/x/crypto/ssh

    An authenticated SSH client that repeatedly opened channels which were rejected by the server caused unbounded memory growth, eventually crashing the server process and affecting all connected users. Rejected channels are now properly removed from the connection's internal state and released for garbage collection.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  5. CVE-2026-39835

    Средний · CVSS 5.3EPSS 0,5%Нет опубликованного исправления

    Invoking server panic during CheckHostKey/Authenticate in golang.org/x/crypto/ssh

    SSH servers which use CertChecker as a public key callback without setting IsUserAuthority or IsHostAuthority could be caused to panic by a client presenting a certificate. CertChecker now returns an error instead of panicking when these callbacks are nil.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  6. CVE-2026-39828

    Средний · CVSS 6.3EPSS 0,37%Нет опубликованного исправления

    Invoking bypass of certificate restrictions in golang.org/x/crypto/ssh

    When an SSH server authentication callback returned PartialSuccessError with non-nil Permissions, those permissions were silently discarded, potentially dropping certificate restrictions such as force-command after a second factor succeeded. Returning non-nil Permissions with PartialSuccessError now results in a connection error.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  7. CVE-2026-46597

    Высокий · CVSS 7.5EPSS 0,47%Нет опубликованного исправления

    Invoking byte arithmetic causes underflow and panic in golang.org/x/crypto/ssh

    An incorrectly placed cast from bytes to int allowed for server-side panic in the AES-GCM packet decoder for well-crafted inputs.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  8. CVE-2025-47914

    Средний · CVSS 5.3EPSS 0,55%Нет опубликованного исправления

    Malformed constraint may cause denial of service in golang.org/x/crypto/ssh/agent

    SSH Agent servers do not validate the size of messages when processing new identity requests, which may cause the program to panic if the message is malformed due to an out of bounds read.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  9. CVE-2025-58181

    Средний · CVSS 5.3EPSS 0,6%Нет опубликованного исправления

    Unbounded memory consumption in golang.org/x/crypto/ssh

    SSH servers parsing GSSAPI authentication requests do not validate the number of mechanisms specified in the request, allowing an attacker to cause unbounded memory consumption.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  10. CVE-2024-45341

    Средний · CVSS 6.1EPSS 0,57%Нет опубликованного исправления

    Usage of IPv6 zone IDs can bypass URI name constraints in crypto/x509

    A certificate with a URI which has a IPv6 address with a zone ID may incorrectly satisfy a URI name constraint that applies to the certificate chain. Certificates containing URIs are not permitted in the web PKI, so this only affects users of private PKIs which make use of URIs.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  11. CVE-2023-48795

    Средний · CVSS 5.9EPSS 93,55%Публичный эксплойтНет опубликованного исправления

    CVE-2023-48795

    The SSH transport protocol with certain OpenSSH extensions, found in OpenSSH before 9.6 and other products, allows remote attackers to bypass integrity checks such that some packets are omitted (from the extension negotiation message), and a client and server may consequently end up with a connection for which some security features have been downgraded or disabled, aka a Terrapin attack. This occurs because the SSH Binary Packet Protocol (BPP), implemented by these extensions, mishandles the handshake phase and mishandles use of sequence numbers. For example, there is an effective attack against SSH's use of ChaCha20-Poly1305 (and CBC with E

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  12. CVE-2021-43565

    Высокий · CVSS 7.5EPSS 1,12%Нет опубликованного исправления

    CVE-2021-43565

    The x/crypto/ssh package before 0.0.0-20211202192323-5770296d904e of golang.org/x/crypto allows an attacker to panic an SSH server.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  13. CVE-2022-27191

    Высокий · CVSS 7.5EPSS 3,93%Нет опубликованного исправления

    CVE-2022-27191

    The golang.org/x/crypto/ssh package before 0.0.0-20220314234659-1baeb1ce4c0b for Go allows an attacker to crash a server in certain circumstances involving AddHostKey.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  14. CVE-2022-23806

    Критический · CVSS 9.1EPSS 3,07%Нет опубликованного исправления

    CVE-2022-23806

    Curve.IsOnCurve in crypto/elliptic in Go before 1.16.14 and 1.17.x before 1.17.7 can incorrectly return true in situations with a big.Int value that is not a valid field element.

    golang-go.cryptoОперационные системы
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

Проверьте свой сервер

Сопоставьте установленный стек и версии со свежими базами уязвимостей.

Проверьте свой сервер →