Drop the RUSTSEC-2026-0387 audit ignore once embedded-tls moves off elliptic-curve 0.13
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 43/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- embedded-iot, rust
- 領域
- embedded-iot, security
調査の方向性
Read .cargo/audit.toml and the aimdb-mqtt-connector dependency configuration, then check whether upstream has released an embedded-tls version using embassy-crypto. If available, bump the dependency, adapt to its API if needed, remove RUSTSEC-2026-0387 from the audit ignores, and check whether RUSTSEC-2023-0071 can also be removed. Confirm with cargo audit and the embedded mqtts:// feature checks.
索引モデルが issue の本文から書いたものです。
説明
.cargo/audit.toml ignores RUSTSEC-2026-0387 (crypto-bigint: timing variability in operations meant to be constant-time), added in #339 so cargo audit stops blocking every PR.
Why it can't be fixed yet
crypto-bigint0.5.5 comes fromembedded-tls0.19.0 →p256/p3840.13 →elliptic-curve0.13.- Only
crypto-bigint0.7.6 and later are fixed, and getting there needselliptic-curve0.14. embedded-tls0.19.0 is the latest release. Upstream (nowembassy-rs/embedded-tls) has moved itsmainbranch toembassy-crypto, but that isn't released.
Exposure
Unlike the other ignores, this one is reachable. embedded-tls does its ECDHE key exchange with a secret ephemeral P-256 key, and signs with a client key when one is configured. It only affects aimdb-mqtt-connector's embedded-tls feature (embedded mqtts://, off by default), and an attacker has to be able to measure the device's timing.
To do when upstream releases
- Bump
embedded-tlsinaimdb-mqtt-connector(adapt to theembassy-cryptoAPI if needed). - Remove
RUSTSEC-2026-0387from.cargo/audit.toml. - Check whether
RUSTSEC-2023-0071(rsa, also via embedded-tls) can go too.
🤖 Generated with Claude Code
- 主要言語
- Rust
- スター
- 101
- フォーク
- 20
- 平均マージ
- 2時間 33分
- マージ済み PR（30日）
- 90
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
aimdb-dev/aimdb のほかの issue
-
🏷️ good first issue enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
メンテナーはふだん 1 日以内に返信
-
documentation
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
メンテナーはふだん 1 日以内に返信
aimdb-dev/aimdb の issue をすべて見る
似ている issue
-
Panic on live viewport resize when unstyled elements exist in display: none subtree対応中かも @GoCoder7 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
DioxusLabs/blitz#1488 ·
メンテナーはふだん 1 日以内に返信
-
S-Needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 77/100
vectordotdev/vrl#2042 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
メンテナーはふだん 1 日以内に返信