RUSTSEC-2026-0179: Unbounded SCRAM iteration count allows a malicious server to cause CPU-exhaustion denial of service
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 3/5
- Tempo estimado
- 1-2 dias
- Facilidade para iniciantes
- 42/100
- Tipo de issue
- Bug
- Clareza
- Precisa de esclarecimento
- Status de atividade
- Pouca atividade
- Stack de tecnologia
- postgres, rust
- Domínio
- authentication, databases, security
Direção de pesquisa
O relatório diz respeito ao pacote Rust postgres-protocol; comece pelo commit upstream vinculado e pelo aviso do RustSec para determinar como o graph-node resolve essa dependência. Confirme que a dependência usa uma versão corrigida do postgres-protocol (e=0.6.12) e que o caminho de autenticação SCRAM afetado foi corrigido.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Unbounded SCRAM iteration count allows a malicious server to cause CPU-exhaustion denial of service
| Details | |
|---|---|
| Package | postgres-protocol |
| Version | 0.6.9 |
| URL | https://github.com/rust-postgres/rust-postgres/commit/d40097a36a85068ea50a3afbf0ce154ba439e7f0 |
| Date | 2026-06-12 |
| Patched versions | >=0.6.12 |
| Unaffected versions | <0.3.0 |
A malicious, compromised, or man-in-the-middle server can supply an arbitrarily
large SCRAM-SHA-256 PBKDF2 iteration count during authentication. The client
runs it inline with no upper bound, pinning a tokio worker thread for minutes
per connection, possibly stalling the whole async runtime.
Applications that connect only to a trusted database are not exposed; the risk
applies to clients that may connect to untrusted or user-supplied servers, or
whose connection can be intercepted by a man-in-the-middle.
See advisory page for additional details.
- Linguagem predominante
- Rust
- Estrelas
- 3.2k
- Forks
- 1.1k
- Merge médio
- 4d 1h
- PRs com merge (30d)
- 1
Preparar o ambiente
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de graphprotocol/graph-node
-
current: include emits an all-null bucket for dimensionless aggregations, nulling the whole responseAberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
graphprotocol/graph-node#6719 ·
-
RUSTSEC-2026-0194: Quadratic run time when checking a start tag for duplicate attribute namesAberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
graphprotocol/graph-node#6673 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
graphprotocol/graph-node#6650 · 1 comentário ·
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 48/100
graphprotocol/graph-node#6722 ·
-
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 68/100
graphprotocol/graph-node#6721 ·
Todas as issues de graphprotocol/graph-node
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100
arkworks-rs/algebra#1161 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
lbjlaq/Antigravity-Manager#3525 · 2 comentários · 1 reação ·
Mantenedores costumam responder em até 1 dia
-
Registry Scheduling: startup logging goes to stdout, colliding with a stdout audit destinationAbertaagent-ready area:platform bug criticality:p3 rust triage:needs-implementation
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 88/100
registrystack/registry-stack#1583 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100
Mantenedores costumam responder em até 1 dia
-
Docs: "Work with Codex from anywhere" page still claims Windows mobile support is "coming soon"Abertaapp documentation remote windows-os
Dificuldade 1/5 1-3 horas Facilidade para iniciantes 88/100
Mantenedores costumam responder em até 1 dia