Go, 신뢰하지 않는 8개 중간 인증서 차단
원제 Go will reject certificate chains containing eight distrusted SPKIs
112 포인트댓글 45
Key Point
eMudhra 인증기관의 8개 중간 인증서가 침해되어 Go에서 공식적으로 차단했으며, 해당 인증서로 보호된 서버나 코드에 영향을 줄 수 있으므로 신속한 대응이 필요하다.
핵심 요약
- Go의 crypto/x509 패키지가 보안 문제로 인해 8개의 중간 인증서를 신뢰하지 않도록 수정했다.
- 해당 인증서들을 포함한 인증서 체인을 검증할 때 필터링하여 호출자에게 반환되지 않도록 한다.
- 영향을 받는 인증서는 모두 eMudhra Technologies Limited가 발급한 중간 인증서들이며, TLS 및 코드 서명(CS) 용도의 DV/EV/OV 등급 인증서를 포함한다.
- 해당 인증서들은 2026년 10월 18-19일 cACompromise(인증기관 침해) 사유로 CCADB에서 폐지되었다.
- 이 취약점은 CVE-2026-111943으로 등록되었으며 Go 1.28에 포함되고, Go 1.26, 1.27 버전으로도 백포트되었다.
- 즉시 업그레이드를 권장하며, 해당 리스크 추적 이슈는 구글 내부 b/575512169로 관리되었던 긴급 항목이었다.