BoringSSL выявил пять проблем, связанных с применением ограничений имен сертификатов к альтернативным именам субъекта (Subject Alternative Names). Эти результаты касаются как устаревшего пути crypto/x509, так и нового пути pki в BoringSSL. Две уязвимости, VU#410595.8 и .12, касающиеся подстановочных имен DNS и имен DNS с конечной точкой соответственно, были устранены. VU#410595.9, связанная с ограничениями URI и двоеточиями перед '@', была принята и находится на стадии координации. VU#410595.10, касающаяся извлечения первого '@' в соответствии с rfc822Name, остается спорной из-за неясного потенциала эксплуатации. VU#410595.11, касающаяся обработки конечной точки в доменах rfc822Name, была отклонена командой BoringSSL, поскольку она была сочтена ниже их порога безопасности. Влияние этих проблем ограничено сценариями, в которых применяются ограничения имен, могут быть получены доверенные подписи для полей SAN, контролируемых злоумышленником, и принятое имя используется для авторизации. Наличие BoringSSL в продукте не означает автоматически, что продукт затронут, поскольку должны быть вызваны конкретные пути и формы имен. Исправления уязвимостей применяются через репозиторий BoringSSL и впоследствии интегрируются в продукты через их механизмы обновления. Операторам рекомендуется проверить, используют ли их развертывания затронутые пути, применить доступные обновления и убедиться, что выданные SAN имеют правильную форму для снижения потенциальных рисков.