CVE-2026-111943: Distrust compromised intermediate certificates in crypto/x509

Análisis en rafaelpfister.ch

Artículo · 11 de noviembre de 2026 Rclone 1.76.0: numerosas correcciones de seguridad, arreglos de VFS y nuevos backends Rclone 1.76.0, del 6 de noviembre de 2026, cierra vulnerabilidades en serve, rc y varios backends, entre ellas una vulnerabilidad del proxy de autenticación en serve sftp con CVSS 8.1, corrige cinco errores en la capa VFS y bloquea por defecto las redirecciones de HTTPS a HTTP. Los operadores de montajes, servicios serve y rc deberían actualizar y revisar los valores predeterminados modificados.

Descripción del fabricante (en inglés)

On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when calling Verify with any of the known intermediate certificates that are no longer considered to be trustworthy.

Datos de referencia

Fabricante

Go standard library

Productos afectados

crypto/x509

CVSS 3.1

6.8 (MEDIUM)

Vector

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Tipo de debilidad

CWE-299: Improper Check for Certificate Revocation

Publicada

21 de octubre de 2026

Fuentes oficiales

← Todas las vulnerabilidades