Drop the RUSTSEC-2026-0387 audit ignore once embedded-tls moves off elliptic-curve 0.13
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 43/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- embedded-iot, rust
- Área
- embedded-iot, security
Línea de trabajo
Read .cargo/audit.toml and the aimdb-mqtt-connector dependency configuration, then check whether upstream has released an embedded-tls version using embassy-crypto. If available, bump the dependency, adapt to its API if needed, remove RUSTSEC-2026-0387 from the audit ignores, and check whether RUSTSEC-2023-0071 can also be removed. Confirm with cargo audit and the embedded mqtts:// feature checks.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
.cargo/audit.toml ignores RUSTSEC-2026-0387 (crypto-bigint: timing variability in operations meant to be constant-time), added in #339 so cargo audit stops blocking every PR.
Why it can't be fixed yet
crypto-bigint0.5.5 comes fromembedded-tls0.19.0 →p256/p3840.13 →elliptic-curve0.13.- Only
crypto-bigint0.7.6 and later are fixed, and getting there needselliptic-curve0.14. embedded-tls0.19.0 is the latest release. Upstream (nowembassy-rs/embedded-tls) has moved itsmainbranch toembassy-crypto, but that isn't released.
Exposure
Unlike the other ignores, this one is reachable. embedded-tls does its ECDHE key exchange with a secret ephemeral P-256 key, and signs with a client key when one is configured. It only affects aimdb-mqtt-connector's embedded-tls feature (embedded mqtts://, off by default), and an attacker has to be able to measure the device's timing.
To do when upstream releases
- Bump
embedded-tlsinaimdb-mqtt-connector(adapt to theembassy-cryptoAPI if needed). - Remove
RUSTSEC-2026-0387from.cargo/audit.toml. - Check whether
RUSTSEC-2023-0071(rsa, also via embedded-tls) can go too.
🤖 Generated with Claude Code
- Lenguaje dominante
- Rust
- Estrellas
- 101
- Forks
- 20
- Merge medio
- 2 h 33 min
- PR fusionados (30 d)
- 90
Preparar el entorno
Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de aimdb-dev/aimdb
-
🏷️ good first issue enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
Los mantenedores suelen responder en 1 día
-
documentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 85/100
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
enhancement
Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100
Los mantenedores suelen responder en 1 día
Todos los issues de aimdb-dev/aimdb
Issues similares
-
Panic on live viewport resize when unstyled elements exist in display: none subtreePosiblemente ocupada @GoCoder7 la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
DioxusLabs/blitz#1488 ·
Los mantenedores suelen responder en 1 día
-
S-Needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Los mantenedores suelen responder en 2 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 77/100
vectordotdev/vrl#2042 ·
Los mantenedores suelen responder en 2 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
Los mantenedores suelen responder en 1 día