UmbrellaX хувийн бета шинэчлэлт
Аюулгүй байдлын шалгалтын явцад бид шифрлэлт болон аюулгүй харилцаа холбоонд ашигладаг хэд хэдэн нээлттэй эхийн номын сангаас ноцтой асуудлуудыг олж илрүүлсэн. Орон нутгийн засварууд бэлэн болсон ч бүрэн баталгаажуулалт, бие даасан хяналт шаардлагатай хэвээр байна. Эдгээр эрсдэлийг хаасан гэдэгт итгэлтэй байх хүртэл би бета хувилбарыг гаргахгүй.
Энд энгийн хэлээр бүрэн жагсаалт байна. Ямар алдаа гарч болох, өдөр тутмын жишээ болон засварын лавлагааг харахын тулд хэсгийг нээнэ үү.
Шифрлэгдсэн бүлгийн нууц нь санах ой эсвэл оношлогоонд нэмэлт хуулбар үлдээж болно. Буруу шифр, тавтай морилно уу мессеж, санал, шинэчлэлтийн зам, дутуу локал түлхүүр, санамсаргүй тооны алдаа, системийн хэвийн бус цаг, эрин үеийн хязгаарлалт зэрэг нь аюулгүй алдаа буцаахын оронд програмыг хааж болзошгүй. Модны бүрэн бүтэн байдал, замын уртыг шалгах нь бас гарах зам бүрт баталгаатай байдаггүй.
Жишээлбэл, сүлжээнээс хүлээн авсан эвдэрсэн бүлгийн шинэчлэлтээс мессенжерийг хаах, бүрэн бүтэн байдлын шалгалтыг алгасах, гэмтлийн тайланд мессежийн байтыг харуулахгүйгээр татгалзах ёстой.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
Устгасан эсвэл сольсон MLS бүртгэл нь санах ойд цуварсан хуулбар эсвэл далд саналын хэсгүүдийг үлдээж болно. Бүлгийн агшин агшинд хамрах хүрээг хамарсан атом солих, дибаг хийх хандалтыг засварлах шаардлагатай бөгөөд баталгаажуулсан шифрлэгдсэн өгөгдлийн оронд унших боломжтой кодлогдсон текстийг хадгалах нэмэлт горим шаардлагатай.
Жишээлбэл, бүлгийг устгаснаар түүний далд хүлээгдэж буй саналуудыг устгах ёстой бөгөөд хадгалах сонголт нь зөвхөн өгөгдлийг унших боломжтой текст болгон хувиргах үед шифрлэгдсэн харагдах ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
Ашиглагдаагүй нэмэлт арын хэсэг нь эмзэг багцыг хараат байдлын бүртгэлд татсан хэвээр байна. HPKE хувийн материалд мөн илүү хүчтэй засвар, санах ой цэвэрлэх шаардлагатай байсан.
Жишээлбэл, бидний ашигладаггүй backend нь мэдэгдэж байгаа эмзэг багцыг хувилбарт оруулах ёсгүй бөгөөд алдааны хэвлэмэл материал нь хэзээ ч HPKE хувийн түлхүүрийг агуулж болохгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: hpke-rs 0.6.1 | RUSTSEC-2026-0124
Санамсаргүй үүсгэгч болон түр зуурын HPKE утгууд нь жинхэнэ цэвэрлэгээ хийх шаардлагатай байсан. Баталгаажсан шифрийг тайлах амжилтгүй болсон нь санах ойд хэсэгчлэн өөрчилсөн энгийн текст буфер үлдээж болзошгүй.
Жишээлбэл, мессежийг баталгаажуулах боломжгүй үед хагас боловсруулсан энгийн текст буферийг нэн даруй устгах хэрэгтэй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: hpke-rs-rust-crypto 0.6.1 | UMB-122
Санамсаргүй төлөв, түлхүүрийн гаралт, хувийн түлхүүрийн байт болон бүтэлгүйтсэн шифрлэлтийн буферийг цэвэрлэх шаардлагатай. Хүчингүй урт болон дэмжигдээгүй түлхүүр солилцох хүсэлтүүд нь процесс дуусах замд хүрч болзошгүй.
Жишээлбэл, алдаатай nonce нь мессенжерийг хаахын оронд ердийн алдааг буцаах ёстой.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
Гарын үсэг зурахгүй, хувьцаа, скаляр байт болон түр уншигдах нууц тэмдэгт мөрийг амжилт, алдааны зам дээр цэвэрлэх шаардлагатай байв. Ашиглагдаагүй функц нь мөн засварлагдаагүй хамаарлын гинжийг татсан.
Жишээлбэл, групп гарын үсэг зурахад ашигласан түр зуурын утгууд нь гарын үсэг зурсан эсвэл амжилтгүй болсны дараа санах ойд уншигдахуйц хэвээр үлдэх ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: frost-core 3.0.0 | local audited patch
Хаясан хуурамч түлхүүрүүд болон завсрын түлхүүр өргөтгөх блокууд нь эцсийн түлхүүрийг үйлдвэрлэсний дараа санах ойд үлдэх боломжтой.
Жишээлбэл, сессийн түлхүүр бэлэн болсны дараа түүнийг гаргахад ашигласан түр зуурын найрлагыг арилгах хэрэгтэй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: hkdf 0.12.4 | local compatibility backport
Үүсмэл түлхүүр блокууд, том хэмжээтэй түлхүүрүүд болон нийцтэй HMAC салбар дахь дотоод хэш үр дүн нь энгийн санах ойд үлдэх боломжтой.
Жишээлбэл, мессежийг жинхэнэ эсэхийг шалгах нь дахин ашиглах боломжтой түлхүүрээс гаралтай байтуудыг үлдээх ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: hmac 0.12.1 | local compatibility backport
Боломжтой цэвэрлэх сонголт нь анхдагчаар унтарсан бөгөөд түр зуурын болон хадгалагдсан түлхүүрээс үүссэн төлөвийн зөвхөн хэсгийг хамарсан.
Жишээлбэл, баталгаажуулалтын шалгалтыг дуусгах нь түр зуурын болон хадгалагдсан түлхүүрээс гаралтай блокуудыг хоёуланг нь цэвэрлэх ёстой.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: hmac 0.13.0 | local audited patch
SHA-256 болон SHA-512 ажиллах төлөв болон блок тоолуурыг тохирох салбар дээр буулгах цагийг цэвэрлэх шаардлагатай.
Жишээлбэл, түлхүүр гарган авах үед нууцыг хэшлэх нь дахин ашиглах боломжтой санах ойд хэш хөдөлгүүрийн ажиллах төлөвийг орхиж болохгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: sha2 0.10.9 | local compatibility backport
Гэмтсэн оролт нь асар их хуваарилалт хүсэх, зарласан талбараас цааш унших, давталтгүйгээр давталт хийх, эсвэл халих, сандрах замыг өдөөж болно. Нууц вектор оношилгоо болон хэсэгчилсэн бүтэлгүй оролтыг цэвэрлэх шаардлагатай.
Жишээлбэл, асар том талбар агуулсан гэж худал мэдүүлсэн бяцхан мессеж нь асар их санах ойг ашиглахгүй байх эсвэл програмыг эцэс төгсгөлгүй давталтад оруулах ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: tls_codec 0.4.2 | local audited patch
STUN мессежийн бүрэн бүтэн байдлын түлхүүрийг оношилгоонд хэвлэх боломжтой бөгөөд түр зуурын итгэмжлэлийн текстээр тодорхой устгаагүй.
Жишээлбэл, холболтын алдааны бүртгэл нь релений хүсэлтийг баталгаажуулахад ашигласан нууцыг задлах ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: stun 0.17.1 | audit patch 6e5cbb42
Урт хугацааны TURN нууц үгийг энгийн мөр болгон хадгалдаг байсан бөгөөд үйлчлүүлэгчийг устгах үед тодорхой устгах шаардлагатай байв.
Жишээлбэл, дуудлагыг дуусгахдаа түүний реле нууц үгийг хуучин клиент объектын санах ойд үлдээж болохгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: turn 0.17.1 | audit patch 6e5cbb42
TURN хэрэглэгчийн нэр, нууц үгийг энгийн мөр болгон хадгалж ICE дибаг хийх гаралтад автоматаар хэвлэсэн.
Жишээлбэл, дуудлагын холболтын тайланд итгэмжлэлүүд байгаа гэж хэлж болох ч хэрэглэгчийн нэр, нууц үгийг хэвлэх ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: webrtc-ice 0.17.1 | audit patch 6e5cbb42
Медиа түлхүүрийн гарал үүслийн оролт, үүсмэл түлхүүрүүд, хадгалагдсан SRTP/SRTCP давс, шифрийн ажиллах төлөвийг найдвартай цэвэрлэх шаардлагатай.
Жишээлбэл, шифрлэгдсэн дуудлага дууссаны дараа түүний түр зуурын медиа түлхүүрүүд болон давсууд энгийн буферт үлдэх ёсгүй.
Орон нутгийн засварыг бэлтгэсэн, баталгаажуулалт хийгдэж байна.
Техникийн дэлгэрэнгүй мэдээлэл: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
Beta тэмдэглэл болон access шинэчлэл авахын тулд миний хувийн X аккаунтыг дагаарай.