RUSTSEC-2023-0071: Marvin Attack: potential key recovery through timing sidechannels

未关闭

#750 创建于 2024年3月16日 0 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 5/5
预计耗时: 一周以上
新手友好度: 20/100

Issue 类型: 缺陷
描述清晰度: 需要澄清
活跃度: 停滞
技术栈: rust
领域: cryptography, security

调研方向

该 issue 指出了 0.9.6 版本的 rsa crate，并链接了 RUSTSEC-2023-0071 advisory，但没有指定任何 repository 文件或测试。首先定位依赖清单，并检查所述迁移工作是否已在其他地方完成。对于该依赖，只有在存在可用的完全常数时间实现或已达成一致的补救方案时，才能视为完成。

由索引模型根据 Issue 内容生成。

描述

Marvin Attack: potential key recovery through timing sidechannels

Details
Package	`rsa`
Version	`0.9.6`
URL	https://github.com/RustCrypto/RSA/issues/19#issuecomment-1822995643
Date	2023-11-22

Impact

Due to a non-constant-time implementation, information about the private key is leaked through timing information which is observable over the network. An attacker may be able to use that information to recover the key.

Patches

No patch is yet available, however work is underway to migrate to a fully constant-time implementation.

Workarounds

The only currently available workaround is to avoid using the rsa crate in settings where attackers are able to observe timing information, e.g. local use on a non-compromised computer is fine.

References

This vulnerability was discovered as part of the "Marvin Attack", which revealed several implementations of RSA including OpenSSL had not properly mitigated timing sidechannel attacks.

See advisory page for additional details.

主要语言: Rust
星标: 167
派生: 19
平均合并: 1 天 6 小时
30 天内合并 PR: 9

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

stackabletech/operator-rs 的其他 Issue

Deny Clippy's inconsistent_struct_constructor lint 未关闭

难度 2/5 1-3 小时新手友好度 68/100

stackabletech/operator-rs#1273 · 1 条评论 · 2026年9月9日创建
Improve label mechanisms 未关闭

难度 5/5 一周以上新手友好度 25/100

stackabletech/operator-rs#1077 · 2025年8月12日创建
Add method(s) for unversioned labels 未关闭

难度 3/5 1-2 天新手友好度 45/100

stackabletech/operator-rs#1063 · 2025年6月23日创建
stackable-versioned: Require inner module definitions to have the same visibility as the parent 未关闭

难度 3/5 1-2 天新手友好度 45/100

stackabletech/operator-rs#1028 · 2025年5月8日创建
RUSTSEC-2025-0007: *ring* is unmaintained 未关闭

难度 5/5 一周以上新手友好度 25/100

stackabletech/operator-rs#965 · 2025年2月22日创建

查看 stackabletech/operator-rs 的全部 Issue

相似的 Issue

[coverage-improver] Cover empty-artifact fallback root in build_plugin_plans 未关闭

难度 2/5 1-3 小时新手友好度 75/100

TheLarkInn/aipm#2413 · 2026年9月24日创建
AGENTS.md points to src/settings_window.rs, src/config.rs, and src/app.rs, which were split into directories 未关闭

documentation

难度 1/5 1 小时以内新手友好度 90/100

alexgorbatchev/simple-ptt#15 · 2026年9月24日创建
bench: run.sh's skip-update message always cites bench/skips.txt 未关闭

tooling

难度 2/5 1-3 小时新手友好度 75/100

svandragt/vivace#313 · 2026年9月24日创建
`t/vm/frames/light-call-frame-writes-dedup.t` wall-clock ratio check fails under `-j4` load 未关闭

todo:ticket

难度 2/5 1-3 小时新手友好度 70/100

tokuhirom/mutsu#9299 · 2026年9月24日创建
fix(taiko-client-rs): prevent BeaconClient panic on zero beacon spec values 未关闭

难度 2/5 1-3 小时新手友好度 75/100

taikoxyz/taiko-mono#22168 · 1 条评论 · 2026年9月24日创建

更多 Rust Issue