Tag Archives | Rustls 0.23.46

Rustls‘un 0.23.46 sürümü, Joe Birr-Pixton tarafından duyuruldu. İyi bir kriptografik güvenlik seviyesi sağlamayı amaçlayan bir TLS kütüphanesi olan Rustls, güvenliğe ulaşmak için hiçbir yapılandırma gerektirmiyor ve güvensiz özellikler sağlamıyor. Rustls‘nin yeni sürümü, dört güvenlik düzeltmesiyle yayınlanmış bulunuyor. Bu yeni Rustls kütüphane sürümündeki ilk güvenlik düzeltmesi, yerleşik ancak varsayılan olarak devre dışı bırakılmış olan Brotli sertifika sıkıştırmasının, kimlik doğrulama gerçekleşmeden önce saldırganın kontrolünde 1 GB’a kadar bellek ayırabilmesi olduğu söyleniyor. Bir diğer sorunun ise oturum hata ayıklama biçimlendirmesinin TLS ana sırlarını ve devam PSK’lerini açığa çıkarması olarak açıklanıyor. Üçüncü sorun ise kimlik doğrulaması yapılmamış bir ServerHello’nun, ad başına anahtar değişim ipuçlarını zehirlemesi ve daha sonraki ClientHello’ların yalnızca klasik bir X25519 paylaşımı taşıması olarak açıklanıyor. Bu sürümde giderilen son güvenlik sorunu, istemcinin el sıkışma tamamlanmadan önce tamponladığı uygulama verilerinin, sunucu şifreli istemci merhaba (ECH) mesajını reddetse bile sunucuya gönderilmesi biçiminde tanımlanıyor. Bu dört güvenlik düzeltmesine ek olarak, Rustls 0.23.46’ya birkaç başka hata düzeltmesi de dahil edilmiş bulunuyor. Bu sürümde giderilen hataların on üçünün, güvenlik sorunlarından ikisi de dahil olmak üzere OpenAI tarafından keşfedilmiş ve rapor edilmiş olduğu söyleniyor. Rustls 0.23.46 hakkında bilgi edinmek için GitHub sürümler sayfasını ve değişiklikleri inceleyebilirsiniz.

Continue Reading →