RUSTSEC-2026-0285: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries

Aberta Para iniciantes
#456 0 comentários 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
2/5
Tempo estimado
1-3 horas
Facilidade para iniciantes
68/100
Tipo de issue
Bug
Clareza
Razoavelmente clara
Status de atividade
Ativa
Stack de tecnologia
rust
Domínio
security

Direção de pesquisa

Leia o aviso do Rustls vinculado e localize onde rustls 0.23.42 é declarado no repositório. Atualize-o para uma versão corrigida igual ou superior a 0.23.45 e, em seguida, execute as verificações de Rust do repositório para confirmar que a dependência é resolvida e que os testes existentes passam.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries

Details
Package rustls
Version 0.23.42
URL https://github.com/rustls/rustls/security/advisories/GHSA-2mjx-qc3c-rqvc
Date 2026-09-14
Patched versions >=0.23.45
Unaffected versions <0.23.13

Rustls accepted TLS 1.3 handshake messages sent at the wrong encryption level
when they followed a key-changing message in the same record. For example,
a plaintext EncryptedExtensions message packed into the same record as the
ServerHello was accepted.

RFC 8446 section 5.1 requires that handshake messages do not span key changes,
and that implementations terminate the connection with an "unexpected_message"
alert if they do.

The handshake transcript is still authenticated, so a network-position attacker
cannot use this to alter or complete a handshake; the practical effect is that
a peer could send handshake messages that should be encrypted in plaintext
without rustls rejecting the connection.

This is functionally the same bug as Go's
GO-2026-4340 (CVE-2025-61730).

See advisory page for additional details.

Linguagem predominante
Rust
Estrelas
10
Forks
5
Merge médio
4h 41min
PRs com merge (30d)
4

Guia de contribuição

Nenhum guia de contribuição indexado para este repositório

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de stackabletech/stackablectl

Todas as issues de stackabletech/stackablectl

Issues semelhantes

Mais issues de Rust

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.