CVE-2026-111943: Distrust compromised intermediate certificates in crypto/x509

Analyse auf rafaelpfister.ch

Artikel · 11. November 2026 Rclone 1.76.0: zahlreiche Sicherheitskorrekturen, VFS-Fixes und neue Backends Rclone 1.76.0 vom 6. November 2026 schliesst Sicherheitslücken in serve, rc und mehreren Backends, darunter eine Auth-Proxy-Lücke in serve sftp mit CVSS 8.1, korrigiert fünf Fehler im VFS-Layer und blockiert HTTPS-zu-HTTP-Redirects standardmässig. Betreiber von Mounts, serve-Diensten und rc sollten aktualisieren und die geänderten Standards prüfen.

Beschreibung des Herstellers (englisch)

On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when calling Verify with any of the known intermediate certificates that are no longer considered to be trustworthy.

Stammdaten

Hersteller

Go standard library

Betroffene Produkte

crypto/x509

CVSS 3.1

6.8 (MEDIUM)

Vektor

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Schwachstellentyp

CWE-299: Improper Check for Certificate Revocation

Veröffentlicht

21. Oktober 2026

Offizielle Quellen

← Alle Schwachstellen