UmbrellaX жеке бета жаңыртуу
Коопсуздукту текшерүү учурунда биз шифрлөө жана коопсуз байланыш үчүн колдонулган бир нече ачык булактуу китепканаларда олуттуу көйгөйлөрдү таптык. Жергиликтүү оңдоолор даяр, бирок алар дагы эле толук текшерүүгө жана көз карандысыз текшерүүгө муктаж. Мен бул тобокелдиктер жабылат деп ишенмейинче бета версиясын чыгарбайм.
Бул жерде жөнөкөй тилде толук тизмеси. Эмне туура эмес болушу мүмкүн экенин, күнүмдүк мисалды жана патч шилтемесин көрүү үчүн бөлүмдү ачыңыз.
Шифрленген топ сырлары эстутумда же диагностикада кошумча көчүрмөлөрдү калтырышы мүмкүн. Начар шифрленген текст, саламдашуу билдирүүлөрү, сунуштар, жаңыртуу жолдору, жетишпеген локалдык ачкычтар, кокустук сандагы каталар, адаттан тыш система убактысы жана доордун чектөөлөрү коопсуз катаны кайтаруунун ордуна колдонмону жаап салышы мүмкүн. Кээ бир дарактардын бүтүндүгүн жана жолдун узундугун текшерүү ар бир чыгаруу жолунда кепилдикке алынган эмес.
Мисалы, тармактан алынган сынган топ жаңыртуусу мессенжерди жаппастан, бүтүндүктү текшерүүнү өткөрүп жибербестен же ката отчетунда билдирүү байттарын көрсөтпөстөн четке кагылышы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
Жок кылынган же алмаштырылган MLS жазуулары эс тутумда серияланган көчүрмөлөрдү же жашыруун сунуш органдарын калтырышы мүмкүн. Топтук көз ирмемдик сүрөттөргө масштабдуу атомдук алмаштыруу керек, мүчүлүштүктөрдү оңдоо мүмкүнчүлүгүн оңдоо керек жана аныктыгы текшерилген шифрленген маалыматтардын ордуна окула турган коддолгон текст сакталган кошумча туруктуу режим.
Мисалы, топту жок кылуу анын жашырылган күтүүдөгү сунуштарын да алып салышы керек жана сактоо опциясы маалыматтарды окула турган текстке гана айландырганда шифрленген көрүнбөшү керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
Колдонулбаган кошумча сервер дагы эле көз карандылык инвентаризациясына аялуу топтомду тартып алды. HPKE жеке материалы дагы күчтүүрөөк оңдоону жана эс тутумду тазалоону талап кылды.
Мисалы, биз колдонбогон сервер релизге белгилүү болгон аялуу пакетти алып келбеши керек жана ката басып чыгаруу эч качан HPKE купуя ачкычын камтыбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: hpke-rs 0.6.1 | RUSTSEC-2026-0124
Кокус генератор жана убактылуу HPKE баалуулуктары чыныгы тазалоону талап кылды. Ийгиликсиз аутентификацияланган шифрлөө эстутумда жарым-жартылай өзгөртүлгөн ачык текст буферин калтырышы мүмкүн.
Мисалы, кабар аутентификациядан өтпөй калганда, жарым-жартылай иштетилген ачык текст буфери дароо өчүрүлүшү керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: hpke-rs-rust-crypto 0.6.1 | UMB-122
Кокус абал, ачкыч-туунду чыгаруу, купуя ачкыч байттар жана ишке ашпай калган шифрлөө буферлери тазалоого муктаж. Жараксыз узундуктар жана колдоого алынбаган ачкыч алмашуу сурамдары процесстин аяктоочу жолдоруна жетиши мүмкүн.
Мисалы, бузулган nonce мессенжерди жабуунун ордуна кадимки катаны кайтарышы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
Кол кою, үлүштөр, скаляр байттар жана убактылуу окула турган жашыруун сап ийгилик жана ката жолдорун тазалоону талап кылды. Колдонулбаган өзгөчөлүк ошондой эле каралбаган көз карандылык чынжырын тартып алды.
Мисалы, топтук кол коюу үчүн колдонулган убактылуу маанилер кол коюу аяктагандан же ишке ашпай калгандан кийин эстутумда окула турган бойдон калбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: frost-core 3.0.0 | local audited patch
Таштандырылган псевдордук ачкычтар жана ортодогу ачкыч-кеңейтүү блоктору акыркы ачкыч чыгарылгандан кийин эс тутумда калышы мүмкүн.
Мисалы, сессия ачкычы даяр болгондон кийин, аны алуу үчүн колдонулган убактылуу ингредиенттерди өчүрүү керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: hkdf 0.12.4 | local compatibility backport
Туунду ачкыч блоктору, чоң көлөмдүү ачкыч дайджесттери жана шайкеш келген HMAC бутагынын ички хэш натыйжалары кадимки эс тутумда калышы мүмкүн.
Мисалы, билдирүүнүн аныктыгын текшерүүдө кайра колдонула турган ачкычтан алынган байттар артта калбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: hmac 0.12.1 | local compatibility backport
Жеткиликтүү тазалоо опциясы демейки боюнча өчүрүлгөн жана убактылуу жана сакталган ачкычтан алынган абалдын бир бөлүгүн гана камтыган.
Мисалы, аныктыгын текшерүүнү аяктоо убактылуу жана сакталган ачкычтан алынган блокторду тазалоо керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: hmac 0.13.0 | local audited patch
SHA-256 жана SHA-512 жумушчу абалы жана блок эсептегичтери шайкеш бутакта түшүүчү убакытты тазалоону талап кылышкан.
Мисалы, ачкычты алуу учурунда сырды хэширлөө хэш кыймылдаткычынын иштөө абалын кайра колдонулуучу эстутумда калтырбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: sha2 0.10.9 | local compatibility backport
Бузулган киргизүү эбегейсиз бөлүштүрүүнү талап кылышы, анын жарыяланган талаасынан тышкары окуу, прогресссиз цикл же толуп кетүү жана дүрбөлөңдүн жолдорун козгошу мүмкүн. Жашыруун вектор диагностикасы жана жарым-жартылай ишке ашпай калган киргизүү да тазалоону талап кылды.
Мисалы, чоң талааны камтыган деп жалган ырастаган кичинекей билдирүү чоң эстутумду талап кылбашы же колдонмону чексиз циклге түшүрбөшү керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: tls_codec 0.4.2 | local audited patch
STUN билдирүүнүн бүтүндүгү ачкычын диагностикада басып чыгарууга болот жана убактылуу эсептик маалымат тексти менен ачык өчүрүлгөн эмес.
Мисалы, туташуу каталары журналы релейлик сурамдын аныктыгын текшерүү үчүн колдонулган сырды ачпашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: stun 0.17.1 | audit patch 6e5cbb42
Узак мөөнөттүү TURN сырсөз кадимки сап катары сакталган жана кардар жок кылынганда аны өчүрүү керек болчу.
Мисалы, чалууну аяктоо анын релелик сырсөзүн эски кардар объектинин эсинде калтырбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: turn 0.17.1 | audit patch 6e5cbb42
TURN колдонуучу аттары жана сырсөздөрү кадимки саптар катары сакталып, ICE мүчүлүштүктөрдү оңдоонун жыйынтыгында автоматтык түрдө басып чыгарылды.
Мисалы, чалуу байланышы боюнча отчетто эсептик маалыматтар бар деп айтышы мүмкүн, бирок ал колдонуучунун атын жана паролду басып чыгарбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: webrtc-ice 0.17.1 | audit patch 6e5cbb42
Медиа ачкыч-туунду киргизүү, алынган ачкычтар, сакталган SRTP/SRTCP туздары жана шифрдин иштөө абалы ишенимдүү тазалоону талап кылды.
Мисалы, шифрленген чалуу аяктагандан кийин анын убактылуу медиа ачкычтары жана туздары кадимки буферлерде калбашы керек.
Жергиликтүү оңдоо даярдалды, текшерүү жүрүп жатат.
Техникалык маалымат: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
Beta жазуулары жана access жаңылыктары үчүн менин жеке X аккаунтумду ээрчиңиз.