RUSTSEC-2026-0349: Unauthenticated ServerHello can downgrade later connections to classical key exchange
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 60/100
Línea de trabajo
El issue pide subir la dependencia rustls de 0.23.45 a al menos 0.23.46, la versión parcheada indicada en el advisory. Empieza por el manifiesto de Cargo y el lockfile para ver dónde está fijada rustls, y luego lee la página del advisory enlazada en el issue para conocer el arreglo exacto. Está terminado cuando la versión de rustls resuelta es 0.23.46 o posterior y el proyecto compila y sus pruebas pasan.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Unauthenticated ServerHello can downgrade later connections to classical key exchange
| Details | |
|---|---|
| Package | rustls |
| Version | 0.23.45 |
| URL | https://github.com/rustls/rustls/pull/3355 |
| Date | 2026-10-14 |
| Patched versions | >=0.23.46 |
The client recorded the server-selected key exchange group for each server
name when processing the ServerHello, before the server was authenticated.
This record is used to predict which key share to send in future ClientHellos
to that server name.
A network attacker can answer one connection attempt with a ServerHello
selecting X25519, and then close the connection. Later ClientHellos for that
name carry only an X25519 key share, while supported_groups still lists
X25519MLKEM768 first. If the genuine server accepts that share rather than
sending a HelloRetryRequest for its preferred hybrid group, the handshake
completes with classical-only key exchange and no error. This persists for as
long as the entry stays in the client's session store.
The impact is loss of post-quantum confidentiality for affected connections
("harvest now, decrypt later"). There is no key compromise and no
authentication bypass.
The following are not affected:
- connections to servers which send a HelloRetryRequest for their preferred group,
- clients with resumption disabled (as nothing is stored), and
- other server names.
This behaviour is discussed in
draft-ietf-tls-key-share-prediction,
so the practical impact depends largely on server policy.
See advisory page for additional details.
- Lenguaje dominante
- Rust
- Estrellas
- 11
- Forks
- 5
- Merge medio
- 1 d 6 h
- PR fusionados (30 d)
- 1
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de stackabletech/stackablectl
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 65/100
stackabletech/stackablectl#475 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
stackabletech/stackablectl#471 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
stackabletech/stackablectl#456 ·
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 35/100
stackabletech/stackablectl#476 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 45/100
stackabletech/stackablectl#474 ·
Todos los issues de stackabletech/stackablectl
Issues similares
-
yara-x fails to build with rsa 0.10.0: unresolved import rsa::Pkcs1v15SignPosiblemente ocupada @CfirTsabari la tomó hoy. Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 87/100
VirusTotal/yara-x#865 ·
Los mantenedores suelen responder en 1 día
-
good first issue help wanted program
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
hffgzktbcc-blip/ounce-core#297 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
nautechsystems/nautilus_trader#5631 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 69/100
bytecodealliance/rustix#1736 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
longbridge/gpui-kit#3871 ·
Los mantenedores suelen responder en 1 día