RUSTSEC-2026-0346: `Debug` impls for client session values expose TLS secrets

Offen
  • Stimmt etwas nicht?
#469 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
40/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Aktiv
Tech-Stack
rust
Bereich
security

Rechercherichtung

The payload names only the dependency rustls at 0.23.45, with a patched version of 0.23.46 or later, and gives no in-repo files. Start by checking whether the lockfile pulls in rustls 0.23.45 and whether any code in this repo implements ClientSessionStore or logs session values with Debug. Done means rustls resolves to 0.23.46 or later, the project builds and its tests pass, and the maintainers agree the advisory is addressed.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Debug impls for client session values expose TLS secrets

Details
Package rustls
Version 0.23.45
URL https://github.com/rustls/rustls/pull/3299
Date 2026-10-14
Patched versions >=0.23.46
Unaffected versions <0.21.0

The Debug implementations of Tls12ClientSessionValue and
Tls13ClientSessionValue were derived, and so included the TLS 1.2 master
secret or TLS 1.3 resumption PSK in their output.

Custom ClientSessionStore implementations that format these values with
Debug (for example, when logging) could disclose these secrets to readers of
the logs. This conflicts with rustls's
key-material redaction policy.

Ordinary connection and built-in session cache Debug output is redacted and
is not affected.

See advisory page for additional details.

Vorherrschende Sprache
Rust
Sterne
11
Forks
5
Ø Merge
1 T. 6 Std.
Gemergte PRs (30 T.)
1

Entwicklungsumgebung

  • Kein Dockerfile und keine Docker-Compose-Datei
  • Hat eine Pull-Request-Vorlage
  • Kein Beitragsleitfaden

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus stackabletech/stackablectl

Alle Issues in stackabletech/stackablectl

Ähnliche Issues

Weitere Issues zu Rust

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.