Invoking pathological RSA/DSA parameters may cause DoS in golang.org/x/crypto/ssh (golang.org/x/crypto golang.org/x/crypto/ssh)

CVE-2026-39829

HIGH 7.5

En bref

Source: NVD
EPSS: EPSS 0.47 % · centile 40 (2026-10-30)
État: PUBLISHED
Publiée: 2026-05-22 02:31 UTC
Mise à jour: 2026-09-18 12:04 UTC
Attribuée par: Go
Statut NVD: Modified

Rechercher sur…

Description

The RSA and DSA public key parsers did not enforce size limits on key parameters. A crafted public key with an excessively large modulus or DSA parameter could cause several minutes of CPU consumption during signature verification. This could be triggered by unauthenticated clients during public key authentication. RSA moduli are now limited to 8192 bits, and DSA parameters are validated per FIPS 186-2.

Faiblesses (CWE)

CWE-1284 — Validation incorrecte d'une quantité spécifiée en entrée
CWE-347 — Vérification incorrecte d'une signature cryptographique

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	CISA-ADP
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	redhat-SADP
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · 0b0ca135-0b70-47e7-9f44-1890c2a1c46c (Secondary)

Avis

GHSA-w879-237q-wc7r — golang.org/x/crypto: Invoking pathological RSA/DSA parameters may cause DoS
GO-2026-5018 — Invoking pathological RSA/DSA parameters may cause DoS in golang.org/x/crypto/ssh

Références européennes

ENISA EUVD · EUVD-2026-31396
GCVE · GCVE-0-2026-39829

Avis du CERT-FR

CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-1249 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-0901 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:golang:crypto:*:*:*:*:*:go:*:* < 0.52.0

Produits affectés

Produit	Versions
golang.org/x/crypto · golang.org/x/crypto/ssh	affected 0 < 0.52.0

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

⚠️ Invoking pathological RSA/DSA parameters may cause DoS in golang.org/x/crypto/ssh (golang.org/x/crypto golang.org/x/crypto/ssh)