| CVE ID | CVE-2026-33818 |
| Severity | HIGH — CVSS 3.1 7.5 |
| Vector | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Produk | Go standard library / encoding/asn1 — 0 (affected), 1.26.0-0 (affected), 1.27.0-0 (affected) |
| Dipublikasikan | 2026-08-13 |
Ringkasan Cepat
- CVE-2026-33818 adalah kerentanan HIGH 7.5 pada encoding/asn1 di Go standard library.
- Penyebabnya: Unmarshal belum menerapkan batas rekursi, sehingga struktur bersarang ekstrem dapat memicu stack exhaustion.
- Dampak utama adalah ketersediaan (A:H); data resmi tidak mencantumkan CWE.
Ringkasan Kerentanan
CVE-2026-33818 adalah kerentanan dengan judul CNA Enforce maximum recursion depth in encoding/asn1. Deskripsi resminya menyebutkan penerapan batas rekursi pada Unmarshal untuk mencegah stack exhaustion saat mengurai struktur rekursif yang bersarang sangat dalam.
Severity resmi: HIGH dengan skor 7.5 menggunakan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. Tanggal publikasi: 2026-08-13T21:58:52.821Z. Data CWE tidak dicantumkan.
Dampak Teknis
Vektor CVSS menunjukkan kerentanan dapat dipicu dari jaringan (AV:N), kompleksitas rendah (AC:L), tanpa hak istimewa (PR:N), dan tanpa interaksi pengguna (UI:N). Dampak langsung terukur pada ketersediaan dengan A:H, sedangkan kerahasiaan dan integritas tidak terdampak (C:N/I:N).
Secara teknis, penguraian struktur ASN.1 yang sangat dalam dan rekursif dapat menghabiskan stack saat Unmarshal berjalan. Dalam konteks pertahanan, ini berpotensi menjadi denial of service pada layanan Go yang memproses input ASN.1 tidak tepercaya. Artikel ini tidak memuat langkah eksploitasi.
Produk Terdampak
Produk terdampak menurut data CNA adalah Go standard library, paket encoding/asn1. Versi yang dicantumkan sebagai affected: 0, 1.26.0-0, dan 1.27.0-0.
Daftar ini penting untuk inventarisasi dependensi: aplikasi, library, atau layanan Go yang memanggil encoding/asn1 perlu diperiksa, terutama yang memproses ASN.1 dari sumber eksternal.
Konteks dan Referensi
Referensi resmi yang tersedia mencakup issue Go 80405, pengumuman golang-announce, perubahan CL 814980, dan entri kerentanan GO-2026-5972 di pkg.go.dev/vuln. Referensi tersebut dapat dipakai untuk memantau status perbaikan dan detail teknis resmi.
Dari perspektif pertahanan, prioritasnya adalah mengetahui paparan encoding/asn1, memantau pembaruan rilis Go, dan memastikan layanan tidak mudah mengalami kehabisan resource akibat input bersarang ekstrem.
Mitigasi dan Perbaikan
- Pantau dan terapkan patch resmi Go yang merujuk CVE-2026-33818; cek go.dev/issue/80405, go.dev/cl/814980, dan pengumuman golang-announce.
- Inventarisasi semua layanan dan dependensi Go yang menggunakan encoding/asn1, khususnya pemanggilan Unmarshal pada data ASN.1.
- Setelah versi perbaikan tersedia, uji dan lakukan upgrade terkontrol; jangan menunda hanya karena skor availability.
- Kurangi paparan endpoint atau proses yang menerima ASN.1 dari sumber tidak tepercaya, dan terapkan pembatasan input di lapisan aplikasi atau gateway.
- Tambahkan pemantauan crash atau lonjakan penggunaan resource pada layanan Go agar indikasi stack exhaustion cepat terdeteksi.
Referensi Resmi
- CVE-2026-33818 — CVE Program (cve.org)
- https://go.dev/issue/80405
- https://groups.google.com/g/golang-announce/c/94pEornpRlI
- https://go.dev/cl/814980
- https://pkg.go.dev/vuln/GO-2026-5972
Artikel ini disusun dari data publik CVE Program (cve.org). Selalu verifikasi patch resmi dari vendor sebelum menerapkan perubahan.
Pertanyaan yang Sering Diajukan (FAQ)
Apa itu CVE-2026-33818?
Seberapa berbahaya CVE-2026-33818?
Produk dan versi apa yang terdampak?
Apakah bisa dipicu dari jarak jauh?
Di mana referensi resminya?
Apa langkah pertahanan utama?
English Version — CVE-2026-33818: Go encoding/asn1 Tightens Recursion Limit
Quick Summary
- CVE-2026-33818 is a HIGH 7.5 vulnerability in encoding/asn1 in the Go standard library.
- The cause: Unmarshal did not enforce a recursion limit, so extremely nested structures can trigger stack exhaustion.
- The main impact is availability (A:H); official data does not list a CWE.
Vulnerability Summary
CVE-2026-33818 is a vulnerability with the CNA title Enforce maximum recursion depth in encoding/asn1. Its official description states the enforcement of a recursion limit on Unmarshal to prevent stack exhaustion when parsing deeply nested recursive structures.
Official severity: HIGH with a score of 7.5 using the vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. Publication date: 2026-08-13T21:58:52.821Z. CWE data is not listed.
Technical Impact
The CVSS vector indicates the vulnerability can be triggered from the network (AV:N), has low complexity (AC:L), requires no privileges (PR:N), and requires no user interaction (UI:N). The direct measurable impact is on availability with A:H, while confidentiality and integrity are not affected (C:N/I:N).
Technically, parsing very deep and recursive ASN.1 structures can exhaust the stack while Unmarshal is running. In a defensive context, this can potentially become a denial of service on Go services that process untrusted ASN.1 input. This article does not include exploitation steps.
Affected Products
According to CNA data, the affected product is the Go standard library, package encoding/asn1. The versions listed as affected are: 0, 1.26.0-0, and 1.27.0-0.
This list is important for dependency inventory: applications, libraries, or Go services that call encoding/asn1 need to be checked, especially those that process ASN.1 from external sources.
Context and References
Available official references include Go issue 80405, the golang-announce announcement, CL 814980 change, and vulnerability entry GO-2026-5972 at pkg.go.dev/vuln. These references can be used to monitor fix status and official technical details.
From a defensive perspective, the priority is to understand encoding/asn1 exposure, monitor Go release updates, and ensure services do not easily suffer resource exhaustion from extremely nested input.
Mitigation
- Monitor and apply official Go patches referring to CVE-2026-33818; check go.dev/issue/80405, go.dev/cl/814980, and golang-announce announcements.
- Inventory all Go services and dependencies that use encoding/asn1, especially calls to Unmarshal on ASN.1 data.
- After a fixed version is available, test and perform controlled upgrades; do not delay solely because of the availability score.
- Reduce exposure of endpoints or processes that accept ASN.1 from untrusted sources, and enforce input restrictions at the application or gateway layer.
- Add monitoring for crashes or resource usage spikes in Go services so signs of stack exhaustion are detected quickly.
Komentar
Posting Komentar