BoringSSLは、証明書の名前制約がサブジェクト代替名（SAN）にどのように適用されるかに関連する5つの問題を特定しました。 これらの発見は、BoringSSL内のレガシーなcrypto/x509パスと、より新しいpkiパスに関するものです。 脆弱性のうち2つ、VU#410595.8および.12は、それぞれワイルドカードDNS名と末尾ドットDNS名に関するもので、修正されました。 VU#410595.9は、URI制約と「@」の前のコロンに関連するもので、受け入れられ、調整中です。 VU#410595.10は、rfc822Nameマッチングにおける最初の「@」ドメイン抽出に関するもので、悪用可能性が不明瞭なため、異議が唱えられたままです。 VU#410595.11は、rfc822Nameドメインにおける末尾ドットの処理に関するもので、BoringSSLチームによってセキュリティ閾値を下回ると判断されたため、却下されました。 これらの問題の影響は、名前制約が強制され、攻撃者が制御するSANフィールドに対して信頼できる署名が得られ、受け入れられた名前が認可に使用されるシナリオに限定されます。 製品にBoringSSLが存在することが、必ずしもその製品が影響を受けることを意味するわけではありません。特定のパスと名前の形式が呼び出される必要があるためです。 脆弱性の修正は、BoringSSLの上流リポジトリを通じて適用され、その後、製品のアップデートメカニズムを介して製品に統合されます。 オペレーターは、デプロイメントが影響を受けるパスを使用しているか確認し、利用可能なアップデートを適用し、発行されたSANが適切に形成されていることを確認して、潜在的なリスクを軽減することが推奨されます。