RUSTSEC-2026-0104: Reachable panic in certificate revocation list parsing

| Details | |
| --- | --- |
| Package | `rustls-webpki` |
| Version | `0.101.7` |
| URL | n/a |
| Patched Versions | >=0.103.13, <0.104.0-alpha.1 OR >=0.104.0-alpha.7 |
| Aliases | [GHSA-82j2-j2ch-gfr8](https://github.com/advisories/GHSA-82j2-j2ch-gfr8) |

A panic was reachable when parsing certificate revocation lists via [`BorrowedCertRevocationList::from_der`]
or [`OwnedCertRevocationList::from_der`]. This was the result of mishandling a syntactically valid empty
`BIT STRING` appearing in the `onlySomeReasons` element of a `IssuingDistributionPoint` CRL extension.

This panic is reachable prior to a CRL's signature being verified.

Applications that do not use CRLs are not affected.

Thank you to [@tynus3](https://github.com/tynus3) for the report.

ファイルやテストは指定されていません。まず、bdk-cli が rustls-webpki にどのように依存しているかを特定し、脆弱なバージョンが直接依存か推移的依存かを確認します。目標には issue に記載されている修正版を使用してください。依存関係が 0.101.7 に解決されなくなり、既存のプロジェクトチェックが通れば完了です。

索引モデルが issue の本文から書いたものです。