BoringSSL은 인증서 이름 제약 조건이 주체 대체 이름(Subject Alternative Names)에 적용되는 방식과 관련된 다섯 가지 문제를 확인했습니다. 이러한 발견은 BoringSSL 내의 레거시 crypto/x509 경로와 더 새로운 pki 경로에 관한 것입니다. 와일드카드 DNS 이름과 후행 점(trailing-dot) DNS 이름과 관련된 두 가지 취약점인 VU#410595.8 및 .12는 수정되었습니다. URI 제약 조건 및 '@' 앞의 콜론과 관련된 VU#410595.9는 수락되었으며 조정 중입니다. rfc822Name 일치에서 첫 번째 '@' 도메인 추출에 관한 VU#410595.10은 불분명한 악용 가능성으로 인해 여전히 논쟁 중입니다. rfc822Name 도메인에서 후행 점 처리에 관한 VU#410595.11은 BoringSSL 팀에서 보안 임계값 미만으로 간주되어 거부되었습니다. 이러한 문제의 영향은 이름 제약 조건이 적용되고, 공격자가 제어하는 SAN 필드에 대해 신뢰할 수 있는 서명을 얻을 수 있으며, 수락된 이름이 권한 부여에 사용되는 시나리오로 제한됩니다. 제품에 BoringSSL이 존재한다고 해서 해당 제품이 영향을 받는다는 것을 자동으로 의미하는 것은 아니며, 특정 경로와 이름 형식이 호출되어야 합니다. 취약점에 대한 수정은 BoringSSL의 업스트림 저장소를 통해 적용되며, 이후 업데이트 메커니즘을 통해 제품에 통합됩니다. 운영자는 배포에서 영향을 받는 경로를 사용하는지 확인하고, 사용 가능한 업데이트를 적용하며, 발급된 SAN이 잠재적 위험을 완화하기 위해 올바르게 형성되었는지 확인하는 것이 좋습니다.