BoringSSL 已发现五个与证书名称约束应用于主题备用名称（SAN）相关的问题。这些发现涉及 BoringSSL 中的遗留 crypto/x509 路径以及较新的 pki 路径。其中两个漏洞 VU#410595.8 和 .12 分别涉及通配符 DNS 名称和末尾点 DNS 名称，现已修复。VU#410595.9 与 URI 约束及 "@" 前的冒号相关，已被接受并正在协调中。VU#410595.10 涉及 rfc822Name 匹配中的首个 "@" 域名提取，由于利用潜力不明确，仍存在争议。VU#410595.11 涉及 rfc822Name 域名中的末尾点处理，已被 BoringSSL 团队拒绝，因其被认为低于其安全阈值。这些问题影响范围仅限于名称约束被强制执行、可在攻击者控制的 SAN 字段上获得可信签名，且接受的名称被用于授权的场景。产品中包含 BoringSSL 并不自动意味着该产品受影响，因为必须调用特定的路径和名称形式。漏洞修复通过 BoringSSL 的上游仓库应用，随后通过各产品的更新机制集成。建议运营人员核实其部署是否使用了受影响的路径，应用可用更新，并确保颁发的 SAN 格式正确，以缓解潜在风险。