CVE-2026-27145 in crypto-x509

摘要

由 VulDB • 2026-06-03

(*x509.Certificate).VerifyHostname 此前会在所有 DNS 主题备用名称 (SAN) 条目上循环调用 matchHostnames。这导致 strings.Split(host, ".") 对相同的输入主机名重复执行。当 DNS SAN 列表较大时，验证成本会随着 SAN 条目数量与主机名标签数量的乘积呈二次方增长。由于 x509.Verify 在构建证书链之前会验证主机名，因此即使对于不受信任的证书，也会产生此开销。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 预定: 2026-02-17
• 披露: 2026-06-03
• 管理: 已接受
• 条目: VDB-368042
• CPE: 准备好
• CWE: CWE-407 (已确认)
• CVSS: 3.7 (VulDB)
• EPSS: 0.00004
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-27145
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27145
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-27145/