Move to elliptic-curve 0.14 and remove the cargo-audit exception for crypto-bigint 0.5.5 (RUSTSEC-2026-0387)

Ouverte
  • Quelque chose ne va pas ?
#489 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Personne n'a encore pris cette issue.

Évaluation

Difficulté
4/5
Temps estimé
3-5 jours
Accessibilité débutants
58/100
Type d'issue
Bug
Clarté
Clairement spécifiée
Activité
Active
Stack technique
rust
Domaine
build-system, security, testing

Piste de recherche

Start by reviewing elastos/.cargo/audit.toml, the cargo-audit CI job, all tracked Cargo.lock files, and the noted dependency chain through k256, p256, and hpke. Check how the CI job can enforce the advisory’s crate-version scope and re-review date, then run the affected signing, verification, and wallet tests. Done means all locks use the specified elliptic-curve versions, crypto-bigint 0.5.x and the advisory exception are gone, and the CI checks and tests pass.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

The cargo-audit exception for RUSTSEC-2026-0387 in elastos/.cargo/audit.toml covers crypto-bigint 0.5.5. elliptic-curve 0.13 (through k256 0.13, p256 0.13 and hpke 0.13) requires that version, and the crypto-bigint 0.5 line has no patched release. The exception comes with 454921cf0 for the 0.8.0 train (status in #93). Its entry says re-review by 2026-11-20.

Done means:

  • every tracked Cargo.lock uses elliptic-curve 0.14 or later, with k256 and p256 0.14 or later, and crypto-bigint 0.5.x leaves all locks;
  • the RUSTSEC-2026-0387 entry leaves elastos/.cargo/audit.toml;
  • the cargo-audit CI job fails when an ignored advisory matches a crate version other than the one its entry names, or when an entry passes its re-review date (cargo-audit ignores by advisory ID only, so today the scope and the date are comments);
  • the signing, verification and wallet tests of the changed crates pass on the new versions.
Langage dominant
Rust
Étoiles
6
Forks
2
Merge moyen
1 j 3 h
PR mergées (30 j)
42

Préparer son environnement

Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de elastos/elastos-runtime

Toutes les issues de elastos/elastos-runtime

Issues similaires

Plus d'issues Rust

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.