RUSTSEC-2026-0104: Reachable panic in certificate revocation list parsing

| Details | |
| --- | --- |
| Package | `rustls-webpki` |
| Version | `0.101.7` |
| URL | n/a |
| Patched Versions | >=0.103.13, <0.104.0-alpha.1 OR >=0.104.0-alpha.7 |
| Aliases | [GHSA-82j2-j2ch-gfr8](https://github.com/advisories/GHSA-82j2-j2ch-gfr8) |

A panic was reachable when parsing certificate revocation lists via [`BorrowedCertRevocationList::from_der`]
or [`OwnedCertRevocationList::from_der`]. This was the result of mishandling a syntactically valid empty
`BIT STRING` appearing in the `onlySomeReasons` element of a `IssuingDistributionPoint` CRL extension.

This panic is reachable prior to a CRL's signature being verified.

Applications that do not use CRLs are not affected.

Thank you to [@tynus3](https://github.com/tynus3) for the report.

Không có tệp hoặc bài kiểm tra nào được nêu tên. Hãy bắt đầu bằng cách xác định bdk-cli phụ thuộc vào rustls-webpki như thế nào và xác định phiên bản dễ bị ảnh hưởng là phụ thuộc trực tiếp hay phụ thuộc bắc cầu; sử dụng các phiên bản đã được vá được liệt kê trong issue làm mục tiêu. Hoàn tất nghĩa là dependency không còn được phân giải thành 0.101.7 và các kiểm tra hiện có của project đều đạt.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.