GHSA-2MJX-QC3C-RQVC
Rustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
CVSS 3.1Medium
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.23.45
Обновите зависимость rustls до версии 0.23.45 или новее, где добавлен строгий контроль уровней шифрования для каждой записи.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Библиотека Rustls некорректно принимает сообщения рукопожатия TLS 1.3 через границы уровней шифрования. Сообщения, требующие защиты, могут быть переданы в открытом виде.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версиях с 0.23.13 по 0.23.44 включительно Rustls обрабатывает сообщения рукопожатия TLS 1.3, идущие сразу за сообщением смены ключа в той же записи, даже если они переданы на неверном уровне шифрования. Стенограмма рукопожатия аутентифицируется, поэтому атака man-in-the-middle не позволяет модифицировать сессию.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Нарушение спецификации протокола TLS 1.3: узел соединения может передавать незашифрованные служебные сообщения (например, EncryptedExtensions) без разрыва сессии клиентом.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 0.23.13➔Fix: 0.23.45
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/rustls/rustls/security/advisories/GHSA-2mjx-qc3c-rqvc
- github.comhttps://github.com/golang/go/commit/5046bdf8a612b35a2c1a9e168054c1d5c65e7dd7
- github.comhttps://github.com/rustls/rustls/commit/98456aea708a7e3c6151e00ca2d4428e7a58257a
- github.comhttps://github.com/rustls/rustls
- rustsec.orghttps://rustsec.org/advisories/RUSTSEC-2026-0285.html
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-2MJX-QC3C-RQVC: Rustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries. URL: https://cve.futuretools.ru/cve/GHSA-2MJX-QC3C-RQVC
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_2mjx_qc3c_rqvc,
title = {{GHSA-2MJX-QC3C-RQVC: Rustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-2MJX-QC3C-RQVC}},
note = {Оперативный инженерный анализ киберугроз}
}