Zespół Go wydał pilną aktualizację (wersje 1.27.3 oraz 1.26.10), która wprowadza blokadę ośmiu kluczy pośrednich certyfikacji (intermediate CA). Decyzja ta została podjęta w trybie URGENT ze względu na poważne obawy dotyczące bezpieczeństwa operacji tych kluczy, choć konkretna przyczyna nie została ujawniona.
Analiza wskazuje, że zablokowane klucze należą do indyjskiego dostawcy eMudhra i obejmują certyfikaty TLS (DV, OV, EV) oraz klucze do podpisywania kodu. Mechanizm blokujący działa poprzez sprawdzanie skrótów SHA-256 kluczy publicznych, co oznacza, że nawet certyfikaty krzyżowo podpisane zostaną odrzucone.
Zmiana ma charakter nieodwracalny wewnątrz biblioteki – nie istnieje opcja wyłączenia tego filtra, nawet jeśli programista próbuje ręcznie zdefiniować własne zaufane korzenie. Programy skompilowane na nowych wersjach będą zgłaszać błąd x509: no valid chains built podczas prób połączenia z usługami korzystającymi z tych kluczy.
Zaleca się niezwłoczną aktualizację środowisk Go, aby zapewnić zgodność z nowymi standardami bezpieczeństwa, oraz monitorowanie certyfikatów używanych w infrastrukturze pod kątem powiązań z eMudhra.
