RUSTSEC-2026-0346: `Debug` impls for client session values expose TLS secrets

オープン
  • 何か問題がありますか？
#469 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
40/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
活発
技術スタック
rust
領域
security

調査の方向性

The payload names only the dependency rustls at 0.23.45, with a patched version of 0.23.46 or later, and gives no in-repo files. Start by checking whether the lockfile pulls in rustls 0.23.45 and whether any code in this repo implements ClientSessionStore or logs session values with Debug. Done means rustls resolves to 0.23.46 or later, the project builds and its tests pass, and the maintainers agree the advisory is addressed.

索引モデルが issue の本文から書いたものです。

説明

Debug impls for client session values expose TLS secrets

Details
Package rustls
Version 0.23.45
URL https://github.com/rustls/rustls/pull/3299
Date 2026-10-14
Patched versions >=0.23.46
Unaffected versions <0.21.0

The Debug implementations of Tls12ClientSessionValue and
Tls13ClientSessionValue were derived, and so included the TLS 1.2 master
secret or TLS 1.3 resumption PSK in their output.

Custom ClientSessionStore implementations that format these values with
Debug (for example, when logging) could disclose these secrets to readers of
the logs. This conflicts with rustls's
key-material redaction policy.

Ordinary connection and built-in session cache Debug output is redacted and
is not affected.

See advisory page for additional details.

主要言語
Rust
スター
11
フォーク
5
平均マージ
1日 6時間
マージ済み PR（30日）
1

環境構築

  • Dockerfile・Docker Compose ファイルなし
  • プルリクエストのテンプレートあり
  • コントリビューションガイドなし

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

stackabletech/stackablectl のほかの issue

stackabletech/stackablectl の issue をすべて見る

似ている issue

Rust の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。