CVE-2026-111943: Distrust compromised intermediate certificates in crypto/x509

Analyse sur rafaelpfister.ch

Article · 11 novembre 2026 Rclone 1.76.0 : nombreuses corrections de sécurité, correctifs VFS et nouveaux backends Rclone 1.76.0 du 6 novembre 2026 comble des failles de sécurité dans serve, rc et plusieurs backends, dont une faille de proxy d’authentification dans serve sftp avec un CVSS de 8.1, corrige cinq erreurs dans la couche VFS et bloque par défaut les redirections HTTPS vers HTTP. Les opérateurs de montages, de services serve et de rc devraient mettre à jour et vérifier les valeurs par défaut modifiées.

Description de l'éditeur (en anglais)

On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when calling Verify with any of the known intermediate certificates that are no longer considered to be trustworthy.

Données de référence

Éditeur

Go standard library

Produits concernés

crypto/x509

CVSS 3.1

6.8 (MEDIUM)

Vecteur

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Type de faiblesse

CWE-299: Improper Check for Certificate Revocation

Publiée

21 octobre 2026

Sources officielles

← Toutes les vulnérabilités