Fażi01
Telefonati bil-videoMessaġġi bil-vuċiKriptaġġ E2EBla ċensuraGruppi u kanaliFajls u mezziBots u mini-applikazzjonijietDeFi integrat
Messaġġiera
Ħaj
Aġġornament beta privat UmbrellaX
Matul ir-reviżjoni tas-sigurtà tagħna, sibna kwistjonijiet serji f'diversi libreriji open-source użati għall-encryption u l-komunikazzjoni sigura. Fixs lokali huma lesti, iżda xorta jeħtieġu verifika sħiħa u reviżjoni indipendenti. Mhux se nirrilaxxa l-beta sakemm inkun kunfidenti li dawn ir-riskji jingħalqu.
Hawnhekk hawn il-lista kompluta b'lingwaġġ sempliċi. Iftaħ taqsima biex tara x'jista' jmur ħażin, eżempju ta' kuljum, u r-referenza tal-garża.
Is-sigrieti tal-grupp decrypted jistgħu jħallu kopji żejda fil-memorja jew fid-dijanjostika. Test taċ-ċifra ħażina, messaġġi ta' merħba, proposti, mogħdijiet ta' aġġornament, ċwievet lokali nieqsa, fallimenti ta' numri każwali, ħin mhux tas-soltu tas-sistema, u limiti ta' epoka jistgħu jagħlqu l-app minflok ma jirritornaw żball sigur. Xi kontrolli tal-integrità tas-siġar u tat-tul tal-mogħdija wkoll ma kinux garantiti f'kull mogħdija ta 'rilaxx.
Pereżempju, aġġornament tal-grupp miksur riċevut min-netwerk għandu jiġi miċħud mingħajr ma jingħalaq il-messaġġier, jaqbeż kontroll tal-integrità, jew jesponi bytes tal-messaġġ f'rapport tal-ħabta.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
Rekords MLS imħassra jew sostitwiti jistgħu jħallu kopji serjali jew korpi moħbija tal-proposti fil-memorja. Snapshots tal-grupp kellhom bżonn sostituzzjoni atomika b'ambitu, aċċess għall-debug meħtieġ redazzjoni, u mod ta 'persistenza fakultattiva maħżuna test kodifikat li jinqara minflok data kodifikata awtentikata.
Pereżempju, it-tħassir ta' grupp irid ineħħi wkoll il-proposti pendenti moħbija tiegħu, u għażla ta' ħażna m'għandhiex tidher kriptata meta tikkonverti d-dejta biss f'test li jinqara.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
Backend fakultattiv mhux użat għadu ġibed pakkett vulnerabbli fl-inventarju tad-dipendenza. Il-materjal privat tal-HPKE kellu bżonn ukoll redazzjoni aktar b'saħħitha u tindif tal-memorja.
Pereżempju, backend li ma nużawx m'għandux iġib pakkett vulnerabbli magħruf f'rilaxx, u stampa ta' żball qatt ma għandu jkun fiha ċavetta privata HPKE.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: hpke-rs 0.6.1 | RUSTSEC-2026-0124
Il-ġeneratur każwali u l-valuri HPKE temporanji kellhom bżonn tindif reali. Id-dekriptaġġ awtentikat fallut jista' wkoll iħalli buffer tat-test sempliċi parzjalment modifikat fil-memorja.
Pereżempju, meta messaġġ jonqos mill-awtentikazzjoni, il-buffer tat-test sempliċi nofs ipproċessat għandu jitħassar immedjatament.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: hpke-rs-rust-crypto 0.6.1 | UMB-122
Stat każwali, output tad-derivazzjoni taċ-ċavetta, bytes taċ-ċavetta privata, u buffers tal-kriptaġġ falluti kellhom bżonn tindif. Tulijiet nonce invalidi u talbiet ta' skambju ewlenin mhux sostnuti jistgħu jilħqu mogħdijiet ta' tmiem il-proċess.
Pereżempju, nonce malformat irid jirritorna żball normali minflok jagħlaq il-messaġġier.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
L-iffirmar ta' nonces, ishma, bytes skalari, u string sigriet temporanju li jinqara kellhom bżonn tindif fuq mogħdijiet ta 'suċċess u żball. Karatteristika mhux użata ġibdet ukoll katina ta 'dipendenza mhux miżmuma.
Pereżempju, valuri temporanji użati għal firma ta' grupp m'għandhomx jibqgħu jinqraw fil-memorja wara li l-iffirmar jispiċċa jew ifalli.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: frost-core 3.0.0 | local audited patch
Ċwievet pseudorandom mormija u blokki intermedji ta 'espansjoni taċ-ċwievet jistgħu jibqgħu fil-memorja wara li ġiet prodotta ċavetta finali.
Pereżempju, wara li ċavetta tas-sessjoni tkun lesta, l-ingredjenti temporanji użati biex tiġi derivata għandhom jitħassru.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: hkdf 0.12.4 | local compatibility backport
Blokki ewlenin derivati, diġesti ta 'ċavetta ta' daqs kbir, u riżultati ta 'hash intern fil-fergħa HMAC kompatibbli jistgħu jibqgħu fil-memorja ordinarja.
Pereżempju, il-verifika li messaġġ huwa awtentiku m'għandux iħalli bytes derivati minn ċavetta li jistgħu jerġgħu jintużaw lura.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: hmac 0.12.1 | local compatibility backport
L-għażla ta' tindif disponibbli kienet mitfija awtomatikament u kopriet biss parti mill-istat temporanju u maħżun derivat minn ċavetta.
Pereżempju, it-tlestija ta 'verifika ta' awtentikazzjoni għandha tnaddaf kemm blokki temporanji kif ukoll maħżuna derivati minn ċavetta.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: hmac 0.13.0 | local audited patch
SHA-256 u SHA-512 tax-xogħol tal-istat u l-counters tal-blokki kellhom bżonn tindif tal-ħin tal-waqgħa fuq il-fergħa kompatibbli.
Pereżempju, hashing sigriet waqt id-derivazzjoni taċ-ċavetta m'għandux iħalli l-istat tax-xogħol tal-magna hash f'memorja li tista 'terġa' tintuża.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: sha2 0.10.9 | local compatibility backport
Input bil-ħsara jista 'jitlob allokazzjoni enormi, jaqra lil hinn mill-qasam iddikjarat tiegħu, loop mingħajr progress, jew iqanqal overflow u mogħdijiet ta' paniku. Id-dijanjostika tal-vettur sigriet u l-input fallut parzjali kellhom bżonn ukoll tindif.
Pereżempju, messaġġ ċkejken li jistqarr b'mod falz li fih qasam enormi m'għandux jikkunsma memorja enormi jew jonssa l-app f'linja bla tarf.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: tls_codec 0.4.2 | local audited patch
Iċ-ċavetta tal-integrità tal-messaġġ STUN setgħet tiġi stampata fid-dijanjostika u ma tħassritx b'mod espliċitu bit-test tal-kredenzjali temporanju.
Pereżempju, log ta 'żbalji ta' konnessjoni m'għandux jiżvela s-sigriet użat biex tiġi awtentikata talba ta 'relay.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: stun 0.17.1 | audit patch 6e5cbb42
Password TURN ta 'ħajja twila kienet maħżuna bħala string ordinarju u kellha bżonn tħassir espliċitu meta l-klijent kien meqrud.
Pereżempju, it-tmiem ta' sejħa m'għandux iħalli l-password tar-relay tagħha fil-memorja tal-oġġett klijent antik.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: turn 0.17.1 | audit patch 6e5cbb42
L-ismijiet tal-utent u l-passwords DAWN inħażnu bħala kordi ordinarji u stampati awtomatikament fl-output tad-debug tal-ICE.
Pereżempju, rapport ta' konnessjoni ta' telefonata jista' jgħid li jeżistu kredenzjali, iżda m'għandux jistampa l-isem tal-utent u l-password.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: webrtc-ice 0.17.1 | audit patch 6e5cbb42
Input tad-derivazzjoni taċ-ċavetta tal-midja, ċwievet derivati, imluħa SRTP/SRTCP maħżuna, u stat tax-xogħol taċ-ċifra meħtieġa tindif affidabbli.
Pereżempju, wara li tispiċċa sejħa kriptata, iċ-ċwievet temporanji tal-midja u l-melħ tagħha m'għandhomx jibqgħu f'buffers ordinarji.
Fix lokali ppreparat, verifika għaddejja.
Dettalji tekniċi: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
Għal noti beta u aġġornamenti tal-aċċess, segwi l-kont personali tiegħi fuq X.