RUSTSEC-2026-0285: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
Les mainteneurs répondent en général sous 2 jours
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 35/100
Piste de recherche
Start with the linked rustls advisory and verify whether ev-node includes rustls 0.23.41 or an affected transitive dependency. The advisory identifies version 0.23.45 as patched; determine the repository's remediation point and confirm that the affected version is no longer used after the relevant checks pass.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
| Details | |
|---|---|
| Package | rustls |
| Version | 0.23.41 |
| URL | https://github.com/rustls/rustls/security/advisories/GHSA-2mjx-qc3c-rqvc |
| Patched Versions | >=0.23.45 |
| Unaffected Versions | <0.23.13 |
| Aliases | GHSA-2mjx-qc3c-rqvc |
Rustls accepted TLS 1.3 handshake messages sent at the wrong encryption level
when they followed a key-changing message in the same record. For example,
a plaintext EncryptedExtensions message packed into the same record as the
ServerHello was accepted.
RFC 8446 section 5.1 requires that handshake messages do not span key changes,
and that implementations terminate the connection with an "unexpected_message"
alert if they do.
The handshake transcript is still authenticated, so a network-position attacker
cannot use this to alter or complete a handshake; the practical effect is that
a peer could send handshake messages that should be encrypted in plaintext
without rustls rejecting the connection.
This is functionally the same bug as Go's
GO-2026-4340 (CVE-2025-61730).
- Langage dominant
- Go
- Étoiles
- 361
- Forks
- 283
- Merge moyen
- 3 j 5 h
- PR mergées (30 j)
- 14
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de evstack/ev-node
-
C:p2p
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
Les mainteneurs répondent en général sous 2 jours
-
C:evm T:code-hygiene
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
evstack/ev-node#2402 · 4 commentaires ·
Les mainteneurs répondent en général sous 2 jours
-
good first issue T:enhancement
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 30/100
evstack/ev-node#1672 · 6 commentaires ·
Les mainteneurs répondent en général sous 2 jours
Toutes les issues de evstack/ev-node
Issues similaires
-
flaky-test
Difficulté 1/5 Moins d'une heure Accessibilité débutants 88/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 88/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
Les mainteneurs répondent en général sous 2 jours
-
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
SocialGouv/iterion#2108 ·
Les mainteneurs répondent en général sous 1 jour