Drop the RUSTSEC-2026-0387 audit ignore once embedded-tls moves off elliptic-curve 0.13
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 43/100
- Type d'issue
- Bug
- Clarté
- Plutôt claire
- Activité
- Active
- Stack technique
- embedded-iot, rust
- Domaine
- embedded-iot, security
Piste de recherche
Read .cargo/audit.toml and the aimdb-mqtt-connector dependency configuration, then check whether upstream has released an embedded-tls version using embassy-crypto. If available, bump the dependency, adapt to its API if needed, remove RUSTSEC-2026-0387 from the audit ignores, and check whether RUSTSEC-2023-0071 can also be removed. Confirm with cargo audit and the embedded mqtts:// feature checks.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
.cargo/audit.toml ignores RUSTSEC-2026-0387 (crypto-bigint: timing variability in operations meant to be constant-time), added in #339 so cargo audit stops blocking every PR.
Why it can't be fixed yet
crypto-bigint0.5.5 comes fromembedded-tls0.19.0 →p256/p3840.13 →elliptic-curve0.13.- Only
crypto-bigint0.7.6 and later are fixed, and getting there needselliptic-curve0.14. embedded-tls0.19.0 is the latest release. Upstream (nowembassy-rs/embedded-tls) has moved itsmainbranch toembassy-crypto, but that isn't released.
Exposure
Unlike the other ignores, this one is reachable. embedded-tls does its ECDHE key exchange with a secret ephemeral P-256 key, and signs with a client key when one is configured. It only affects aimdb-mqtt-connector's embedded-tls feature (embedded mqtts://, off by default), and an attacker has to be able to measure the device's timing.
To do when upstream releases
- Bump
embedded-tlsinaimdb-mqtt-connector(adapt to theembassy-cryptoAPI if needed). - Remove
RUSTSEC-2026-0387from.cargo/audit.toml. - Check whether
RUSTSEC-2023-0071(rsa, also via embedded-tls) can go too.
🤖 Generated with Claude Code
- Langage dominant
- Rust
- Étoiles
- 101
- Forks
- 20
- Merge moyen
- 2 h 33 min
- PR mergées (30 j)
- 90
Préparer son environnement
Lance le conteneur de développement du projet dans votre navigateur, avec votre propre compte GitHub.
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de aimdb-dev/aimdb
-
chore: remove stale dead_code allows in aimdb-cli, aimdb-mcp and the zenoh profile modulePeut-être pris @Wizard52007 l’a pris aujourd’hui. Ouverte🏷️ good first issue enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 74/100
aimdb-dev/aimdb#462 · 4 commentaires · 1 personne assignée ·
Les mainteneurs répondent en général sous 1 jour
-
documentation
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
Les mainteneurs répondent en général sous 1 jour
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
Les mainteneurs répondent en général sous 1 jour
-
enhancement
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de aimdb-dev/aimdb
Issues similaires
-
SPLADE `/embed_sparse` output depends on the other inputs in the batch (candle BertModel / DistilBertModel)Peut-être pris @0z5a l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
huggingface/text-embeddings-inference#979 ·
Les mainteneurs répondent en général sous 1 jour
-
good first issue help wanted
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
servo/rust-smallvec#874 ·
-
Expression with ill-formed typeOuverte
Difficulté 1/5 Moins d'une heure Accessibilité débutants 94/100
Les mainteneurs répondent en général sous 1 jour
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 65/100
Les mainteneurs répondent en général sous 2 jours
-
ci enhancement need-triage
Difficulté 2/5 1-3 heures Accessibilité débutants 86/100
Les mainteneurs répondent en général sous 1 jour