CVE-2026-33818: переполнение стека в encoding/asn1 стандартной библиотеки Go

В пакете encoding/asn1 стандартной библиотеки Go обнаружена уязвимость CVE-2026-33818, связанная с отсутствием ограничения глубины рекурсии при демаршалинге ASN.1-структур. Проблема может привести к отказу в обслуживании: специально сформированные входные данные вызывают исчерпание стека и аварийное завершение процесса.

Подробности

Уязвимость затрагивает стандартную библиотеку Go — пакет encoding/asn1. Функция Unmarshal при разборе глубоко вложенных рекурсивных структур не ограничивает глубину рекурсии, что позволяет злоумышленнику исчерпать стек вызовов (stack exhaustion). В результате обрабатывающий процесс завершается аварийно — классический сценарий отказа в обслуживании (DoS). Проблема особенно актуальна для приложений, которые принимают ASN.1-данные из недоверенных источников: TLS- и PKI-инфраструктуры, парсеры сертификатов, X.509, протоколы аутентификации и другие системы, где ASN.1 используется для кодирования структур. Если такие данные поступают извне без предварительной валидации, атакующий может инициировать отказ в обслуживании, отправив специально сконструированный глубоко вложенный объект. Уязвимость относится к классу CWE-674 (Uncontrolled Recursion) и CWE-400 (Uncontrolled Resource Consumption). Точное значение CVSS в записи CVE не указано — при оценке риска следует ориентироваться на доступность сервиса и характер обрабатываемых данных.

Что делать

Основная рекомендация — обновить Go до версии, содержащей исправление: в ней в Unmarshal добавлено ограничение максимальной глубины рекурсии. Проверьте, какая версия Go используется в ваших сборках, и пересоберите затронутые приложения после обновления тулчейна. Дополнительные меры:

• Ограничьте приём ASN.1-данных из недоверенных источников и валидируйте входные данные до передачи в Unmarshal.
• Применяйте лимиты на размер и структуру входных данных на периметре (API-шлюзы, прокси, валидаторы).
• Настройте мониторинг аварийных завершений процессов, обрабатывающих ASN.1, чтобы оперативно выявлять попытки эксплуатации.
• Проверьте зависимости: если сторонние библиотеки вызывают encoding/asn1 для разбора внешних данных, они также наследуют риск.

Итог: CVE-2026-33818 — уязвимость отказа в обслуживании в стандартной библиотеке Go, связанная с неконтролируемой рекурсией в encoding/asn1. Исправление уже доступно в обновлённых версиях Go; приоритет — обновление тулчейна и пересборка приложений, работающих с ASN.1-данными из недоверенных источников.

Источник: CVE Project (cvelistV5)