RUSTSEC-2026-0285: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries

Offen

#3,452 erstellt am 15.9.2026 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 35/100

Issue-Typ: Bug
Klarheit: Muss geklärt werden
Aktivitätsstatus: Aktiv
Tech-Stack: rust
Bereich: security

Rechercherichtung

Start with the linked rustls advisory and verify whether ev-node includes rustls 0.23.41 or an affected transitive dependency. The advisory identifies version 0.23.45 as patched; determine the repository's remediation point and confirm that the affected version is no longer used after the relevant checks pass.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Details
Package	`rustls`
Version	`0.23.41`
URL	https://github.com/rustls/rustls/security/advisories/GHSA-2mjx-qc3c-rqvc
Patched Versions	>=0.23.45
Unaffected Versions	<0.23.13
Aliases	GHSA-2mjx-qc3c-rqvc

Rustls accepted TLS 1.3 handshake messages sent at the wrong encryption level
when they followed a key-changing message in the same record. For example,
a plaintext EncryptedExtensions message packed into the same record as the
ServerHello was accepted.

RFC 8446 section 5.1 requires that handshake messages do not span key changes,
and that implementations terminate the connection with an "unexpected_message"
alert if they do.

The handshake transcript is still authenticated, so a network-position attacker
cannot use this to alter or complete a handshake; the practical effect is that
a peer could send handshake messages that should be encrypted in plaintext
without rustls rejecting the connection.

This is functionally the same bug as Go's
GO-2026-4340 (CVE-2025-61730).

Vorherrschende Sprache: Go
Sterne: 361
Forks: 281
Ø Merge: 2 T. 23 Std.
Gemergte PRs (30 T.): 15

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus evstack/ev-node

p2p: allowed_peers list propagated network-wide instead of being local to the node Offen

C:p2p

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100

evstack/ev-node#3254 · Erstellt am 15.4.2026
EVM: Set FinalizedHash correctly in `forkChoiceUpdatedV3` call in ExecuteTxs Offen

C:evm T:code-hygiene

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 35/100

evstack/ev-node#2402 · 4 Kommentare · Erstellt am 26.6.2025
[Feature Request]: double-sign detection Offen

good first issue T:enhancement

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 30/100

evstack/ev-node#1672 · 6 Kommentare · Erstellt am 17.5.2024

Alle Issues in evstack/ev-node