RUSTSEC-2026-0285: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 3/5
- Tempo estimado
- 1-2 dias
- Facilidade para iniciantes
- 35/100
Direção de pesquisa
Start with the linked rustls advisory and verify whether ev-node includes rustls 0.23.41 or an affected transitive dependency. The advisory identifies version 0.23.45 as patched; determine the repository's remediation point and confirm that the affected version is no longer used after the relevant checks pass.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
| Details | |
|---|---|
| Package | rustls |
| Version | 0.23.41 |
| URL | https://github.com/rustls/rustls/security/advisories/GHSA-2mjx-qc3c-rqvc |
| Patched Versions | >=0.23.45 |
| Unaffected Versions | <0.23.13 |
| Aliases | GHSA-2mjx-qc3c-rqvc |
Rustls accepted TLS 1.3 handshake messages sent at the wrong encryption level
when they followed a key-changing message in the same record. For example,
a plaintext EncryptedExtensions message packed into the same record as the
ServerHello was accepted.
RFC 8446 section 5.1 requires that handshake messages do not span key changes,
and that implementations terminate the connection with an "unexpected_message"
alert if they do.
The handshake transcript is still authenticated, so a network-position attacker
cannot use this to alter or complete a handshake; the practical effect is that
a peer could send handshake messages that should be encrypted in plaintext
without rustls rejecting the connection.
This is functionally the same bug as Go's
GO-2026-4340 (CVE-2025-61730).
- Linguagem predominante
- Go
- Estrelas
- 361
- Forks
- 281
- Merge médio
- 2d 23h
- PRs com merge (30d)
- 15
Guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de evstack/ev-node
-
C:p2p
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 48/100
-
C:evm T:code-hygiene
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 35/100
-
good first issue T:enhancement
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 30/100
Todas as issues de evstack/ev-node
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 65/100
-
bug group: validation priority: low
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
codecheckers/chekhov#51 ·
-
Creating worktree from an existing remote branch with a slash in it, has unexpected behaviour Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100