RUSTSEC-2026-0348: Brotli certificate decompression can allocate up to 1 GiB before authentication
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 2/5
- Tempo estimado
- 1-3 horas
- Facilidade para iniciantes
- 50/100
Direção de pesquisa
The payload names the rustls dependency at 0.23.45 with a patched version of at least 0.23.46, but not where it is declared. Start by searching Cargo.toml and Cargo.lock for rustls, and check whether the brotli feature is enabled anywhere. Done when the lock resolves to a patched rustls and the project builds and its tests pass; cargo audit should no longer report RUSTSEC-2026-0348.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Brotli certificate decompression can allocate up to 1 GiB before authentication
| Details | |
|---|---|
| Package | rustls |
| Version | 0.23.45 |
| URL | https://github.com/rustls/rustls/pull/3297 |
| Date | 2026-10-14 |
| Patched versions | >=0.23.46 |
| Unaffected versions | <0.23.9 |
The built-in Brotli certificate decompressor (enabled by the non-default
brotli crate feature) bounded the size of the decompressed output, but
accepted a peer-selected history window. Brotli's large-window extension was
enabled, so a five-byte header could cause an allocation of 1 GiB. A peer can
abort a process whose allocator cannot satisfy that request.
No trusted certificate is required by the attacker. Affected configurations are:
- clients that enable the
brotlifeature and connect to a malicious server, and - servers that enable the
brotlifeature and request client certificates.
Applications that do not enable the brotli feature are not affected.
See advisory page for additional details.
- Linguagem predominante
- Rust
- Estrelas
- 2
- Forks
- 0
- Merge médio
- 1d 5h
- PRs com merge (30d)
- 4
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Tem um modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de stackabletech/stackable-odbc-trino
-
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 15/100
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 35/100
Todas as issues de stackabletech/stackable-odbc-trino
Issues semelhantes
-
bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
swc-project/swc-next#1165 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 73/100
Alive24/shea-symphony#574 ·
-
documentation good first issue help wanted
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100
dev-five-git/devup-ui#879 ·
Mantenedores costumam responder em até 11 dias
-
bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 77/100
farion1231/cc-switch#9038 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
FalkorDB/FalkorDB#3597 · 1 comentário ·
Mantenedores costumam responder em até 2 dias