Go Issues Emergency Update Blocking Eight CA Keys Over Undisclosed Security Concerns
The Hacker News · 20 oct, 13:32
Go 1.27.3 y Go 1.26.10, lanzados el 20 de octubre, incluyen un parche de emergencia que rechaza cualquier cadena de certificados que pase por ocho claves de entidades certificadoras intermedias de eMudhra, sin revelar los motivos específicos de seguridad. Mozilla había añadido seis certificados intermedios de eMudhra a su lista de revocación OneCRL dos días antes, lo que sugiere una preocupación coordinada sobre la operación de esta autoridad certificadora india.
Go ha bloqueado las ocho claves intermedias (seis de TLS y dos de firma de código) mediante el filtro x509 que rechaza certificados cuya clave pública coincida con los hashes especificados. El bloqueo se aplica en el verificador propio de Go y en las rutas de Windows y macOS que delegan al sistema operativo, devolviendo el error "x509: no valid chains built". El filtro no puede deshabilitarse ni tiene excepciones, aunque programas que usen raíces de confianza personalizadas también serán afectados si incluyen alguna de las ocho claves.
El equipo de Go clasificó esto como un problema del tipo URGENT, reservado para amenazas a la integridad del ecosistema o fallos bajo explotación activa, pero no especificó cuál de estos supuestos aplica. Mozilla certificó haber tomado acciones similares sin revelar detalles, y no está claro si Chrome, Apple o Microsoft han hecho lo mismo. Las aplicaciones compiladas antes del 20 de octubre mantienen el comportamiento anterior hasta ser reconstruidas; eMudhra no ha hecho declaraciones públicas sobre el incidente.
Puntos clave
- Go 1.27.3 y Go 1.26.10 cierran cadenas de certificados con ocho claves intermedias de eMudhra sin revelar motivos detallados
- El bloqueo afecta a seis intermediarios TLS (validación de dominio, organización y extendida) y dos de firma de código
- Aplicaciones existentes no son afectadas hasta su recompilación; los sitios afectados necesitarán certificados de intermediarios alternativos
- No hay workaround ni opción para deshabilitar el filtro; Go 1.25 y versiones anteriores no reciben parches