Er is een beveiligingsupdate uitgebracht voor de crypto/x509 package in Go om risico's rondom specifieke tussencertificaten van de Certificate Authority eMudhra te mitigeren. Vanwege een cACompromise zijn diverse certificaten van eMudhra BV (Nederland) en eMudhra Inc (Verenigde Staten) ingetrokken.
De belangrijkste punten zijn:
- Technische aanpassing: De
Verify-functie filtert voortaan ketens die de getroffen certificaten bevatten, zodat deze niet langer aan de aanroeper worden teruggestuurd.
- Betrokken certificaten: Het gaat om diverse DV, EV, OV en CS TLS CA-certificaten (G3B en G3C series) uitgegeven door de emSign Root TLS CA - G3 en emSign Root CS CA - G3.
- Urgentie: Vanwege de aard van het probleem (CVE-2026-111943) is een onmiddellijke upgrade noodzakelijk.
- Versiebeheer: Backports en fixes zijn beschikbaar voor Go-versies 1.26, 1.27 en 1.28.
crypto/x509: Mitigatie voor beveiligingsproblemen bij een specifieke Certificate Authority
Beschrijving van de wijziging
De functie Verify filtert voortaan ketens die deze tussencertificaten bevatten. Hierdoor worden deze certificaten niet langer aan de aanroeper teruggestuurd.
Vanwege de aard van dit probleem wordt dringend aangeraden om onmiddellijk te upgraden naar deze release.
Referenties en identificatie
- CVE-ID: CVE-2026-111943
- Go Issue: #82345
- Status: Oorspronkelijk behandeld als een urgent kwestie (URGENT track issue).
Betrokken certificaten
Uit de discussie naar voren komen specifieke certificaten van eMudhra die zijn getroffen. Deze certificaten zijn volgens de CCADB op 18 en 19 oktober ingetrokken vanwege een cACompromise.
De volgende entiteiten en certificaten zijn geïdentificeerd:
- eMudhra BV (Nederland)
- EM DV TLS CA - G3B
- EM EV TLS CA - G3B
- EM OV TLS CA - G3B
- EM OV CS CA - G3B
- eMudhra Inc (Verenigde Staten)
- EM DV TLS CA - G3C
- EM EV TLS CA - G3C
- EM OV TLS CA - G3C
- EM OV CS CA - G3C
Alle bovenstaande certificaten hebben als issuer de emSign Root TLS CA - G3 of de emSign Root CS CA - G3 (beide beheerd door eMudhra Technologies Limited, India).
Versiebeheer en backports
Om de veiligheid breed te waarborgen, zijn er backports aangemaakt voor oudere versies van Go:
- Versie 1.26 (Issue #82348)
- Versie 1.27 (Issue #82349)
- Versie 1.28 (Hoofdrelease)
crypto/x509: Mitigatie voor beveiligingsproblemen bij een specifieke Certificate Authority
Beschrijving van de wijziging
De functie Verify filtert voortaan ketens die deze tussencertificaten bevatten. Hierdoor worden deze certificaten niet langer aan de aanroeper teruggestuurd.
Vanwege de aard van dit probleem wordt dringend aangeraden om onmiddellijk te upgraden naar deze release.
Referenties en identificatie
- CVE-ID: CVE-2026-111943
- Go Issue: #82345
- Status: Oorspronkelijk behandeld als een urgent kwestie (URGENT track issue).
Betrokken certificaten
Uit de discussie naar voren komen specifieke certificaten van eMudhra die zijn getroffen. Deze certificaten zijn volgens de CCADB op 18 en 19 oktober ingetrokken vanwege een cACompromise.
De volgende entiteiten en certificaten zijn geïdentificeerd:
- eMudhra BV (Nederland)
- EM DV TLS CA - G3B
- EM EV TLS CA - G3B
- EM OV TLS CA - G3B
- EM OV CS CA - G3B
- eMudhra Inc (Verenigde Staten)
- EM DV TLS CA - G3C
- EM EV TLS CA - G3C
- EM OV TLS CA - G3C
- EM OV CS CA - G3C
Alle bovenstaande certificaten hebben als issuer de emSign Root TLS CA - G3 of de emSign Root CS CA - G3 (beide beheerd door eMudhra Technologies Limited, India).
Versiebeheer en backports
Om de veiligheid breed te waarborgen, zijn er backports aangemaakt voor oudere versies van Go:
- Versie 1.26 (Issue #82348)
- Versie 1.27 (Issue #82349)
- Versie 1.28 (Hoofdrelease)
Groetjes,