به گزارش Phoronix، کتابخانه Rustls به عنوان یک کتابخانه مدرن TLS (امنیت لایه انتقال) که با زبان برنامه‌نویسی راست (Rust) و با تأکید بر ایمنی حافظه (Memory Safety) نوشته شده است، نسخه 0.23.46 را منتشر کرد. این به‌روزرسانی چهار اصلاح امنیتی جدید را در اختیار توسعه‌دهندگان قرار می‌دهد.
چهار اصلاح امنیتی کلیدی
- از حالت فشرده خارج کردن گواهی Brotli (Brotli Certificate Decompression): این قابلیت که به صورت داخلی وجود دارد اما به طور پیش‌فرض غیرفعال است، می‌تواند پیش از فرآیند احراز هویت (Authentication) تا ۱ گیگابایت حافظه را به میزان کنترل‌شده توسط مهاجم تخصیص دهد.
- افشای کلیدهای حساس در لاگ: قالب‌بندی اشکال‌زدایی نشست (Session Debug Formatting) باعث افشای کلیدهای اصلی TLS (TLS Master Secrets) و کلیدهای پیش‌اشتراکی ادامه نشست (Resumption PSKs) می‌شود. در نتیجه این کلیدهای مهم می‌توانند از طریق فایل‌های لاگ (Log Files) فاش شوند.
- مسموم‌سازی راهنمای تبادل کلید: یک پیام ServerHello احراز هویت‌نشده می‌تواند راهنمای تبادل کلید به ازای هر نام (Per-Name Key-Exchange Hints) را مسموم کند؛ به گونه‌ای که ClientHelloهای بعدی تنها یک سهم کلاسیک X25519 را حمل کنند.
- ارسال داده پیش از تکمیل دست‌دهی: داده‌های برنامه‌ای (Application Data) که کلاینت پیش از تکمیل دست‌دهی (Handshake) بافر می‌کند، حتی در صورتی که سرور Encrypted Client Hello (ECH) را رد کند، برای سرور ارسال می‌شوند.
سایر رفع باگ‌ها و همکاری OpenAI
علاوه بر این چهار اصلاح امنیتی، چندین رفع باگ دیگر نیز در Rustls 0.23.46 اعمال شده است. بر اساس این گزارش، سیزده باگ رفع‌شده در این نسخه توسط OpenAI کشف و گزارش شده‌اند که دو مورد از آن‌ها همان مسائل امنیتی یادشده هستند.
دریافت نسخه جدید
علاقه‌مندان و توسعه‌دهندگان می‌توانند برای دریافت نسخه 0.23.46 و اطلاعات بیشتر به GitHub مراجعه کنند.