Навсозии бета хусусии UmbrellaX
Ҳангоми баррасии амнияти худ мо дар якчанд китобхонаҳои кушодаасос, ки барои рамзгузорӣ ва иртиботи бехатар истифода мешаванд, мушкилоти ҷиддиро дарёфтем. Ислоҳҳои маҳаллӣ омодаанд, аммо онҳо ҳанӯз ба тафтиши пурра ва баррасии мустақил ниёз доранд. То он даме, ки ман итминон надорам, ки ин хатарҳо баста мешаванд, ман бета-ро нашр намекунам.
Дар ин ҷо рӯйхати пурра бо забони оддӣ аст. Қисматро кушоед, то бубинед, ки чӣ метавонад хато кунад, мисоли ҳаррӯза ва истинод ба навор.
Сирри рамзкушодашудаи гурӯҳ метавонад дар хотира ё ташхис нусхаҳои изофӣ гузорад. Шифри бад, Паёмҳои истиқбол, пешниҳодҳо, роҳҳои навсозӣ, гумшудаи калидҳои маҳаллӣ, нокомии рақамҳои тасодуфӣ, вақти ғайриоддии система ва маҳдудиятҳои давра метавонад ба ҷои баргардонидани хатои бехатар барномаро пӯшонад. Баъзе якпорчагии дарахт ва санҷишҳои дарозии роҳ низ дар ҳар як роҳи раҳоӣ кафолат дода намешуд.
Масалан, навсозии гурӯҳи шикастае, ки аз шабака гирифта шудааст, бояд бе бастани паёмнавис, гузариш аз санҷиши якпорчагӣ ё фош кардани байтҳои паём дар гузориши садама рад карда шавад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
Сабтҳои нестшуда ё ивазшудаи MLS метавонанд нусхаҳои силсилавӣ ё мақомоти пинҳонии пешниҳодро дар хотира гузоранд. Суратҳои гурӯҳӣ ба ивази миқёси атомӣ ниёз доштанд, дастрасии дебаг ба таҳрири лозимӣ ва ҳолати ихтиёрии суботкорӣ ба ҷои маълумоти рамзгузоришудаи аслӣ матни рамзшудаи хондашаванда захира карда мешуд.
Масалан, нест кардани гурӯҳ инчунин бояд пешниҳодҳои дар интизори пинҳоншудаи онро хориҷ кунад ва имконоти нигоҳдорӣ набояд рамзгузоришуда бошад, вақте ки он танҳо маълумотро ба матни хондашаванда табдил медиҳад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
Як пушти ихтиёрии истифоданашуда то ҳол бастаи осебпазирро ба инвентаризатсияи вобастагӣ кашид. Маводи хусусии HPKE инчунин ба таҳрири қавитар ва тозакунии хотира ниёз дошт.
Масалан, пуштибоние, ки мо истифода намебарем, набояд бастаи осебпазирро ба релиз ворид кунад ва чопи хато набояд ҳеҷ гоҳ калиди хусусии HPKE дошта бошад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: hpke-rs 0.6.1 | RUSTSEC-2026-0124
Генератори тасодуфӣ ва арзишҳои муваққатии HPKE ба тозакунии воқеӣ ниёз доштанд. Рамзкушоии нобарори тасдиқшуда инчунин метавонад буфери матнии қисман тағирёфтаро дар хотира гузорад.
Масалан, вақте ки паём дар тасдиқи аутентификатсия ноком мешавад, буфери матни нимкоркардашуда бояд фавран тоза карда шавад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: hpke-rs-rust-crypto 0.6.1 | UMB-122
Ҳолати тасодуфӣ, баромади калидҳо, байтҳои калиди хусусӣ ва буферҳои рамзгузории ноком ба тоза кардан лозим буд. Дарозии беэътибор ва дархостҳои мубодилаи калидҳои дастгирӣнашаванда метавонанд ба роҳҳои анҷоми раванд расанд.
Масалан, носозгории нодуруст ба ҷои бастани паёмнавис бояд хатои муқаррариро баргардонад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
Имзои ноансҳо, саҳмияҳо, байтҳои скалярӣ ва сатри махфии муваққатии хондашаванда барои тоза кардани роҳҳои муваффақият ва хато лозим буд. Хусусияти истифоданашуда инчунин занҷири вобастагии нигоҳнашударо кашид.
Масалан, арзишҳои муваққатие, ки барои имзои гурӯҳӣ истифода мешаванд, набояд пас аз анҷоми имзо ё нокомӣ дар хотира хондан бимонанд.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: frost-core 3.0.0 | local audited patch
Калидҳои псевдортасодуалии партофташуда ва блокҳои фосилавии васеъкунии калид пас аз тавлиди калиди ниҳоӣ метавонанд дар хотира боқӣ монанд.
Масалан, пас аз омода шудани калиди сессия, компонентҳои муваққатие, ки барои ба даст овардани он истифода мешаванд, бояд тоза карда шаванд.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: hkdf 0.12.4 | local compatibility backport
Блокҳои калидии ҳосилшуда, дайджестҳои калидии калонҳаҷм ва натиҷаҳои хэши дохилӣ дар шохаи мувофиқи HMAC метавонанд дар хотираи оддӣ боқӣ монанд.
Масалан, тасдиқи ҳақиқии паём набояд байтҳои аз калиди дубора истифодашавандаро паси сар кунад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: hmac 0.12.1 | local compatibility backport
Опсияи тозакунии дастрас ба таври нобаёнӣ хомӯш буд ва танҳо як қисми ҳолати муваққатӣ ва захирашудаи калидро дар бар мегирифт.
Масалан, анҷом додани санҷиши аутентификатсия бояд блокҳои муваққатӣ ва захирашудаи калидҳоро тоза кунад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: hmac 0.13.0 | local audited patch
Ҳисобкунакҳои ҳолати корӣ ва блоки SHA-256 ва SHA-512 дар филиали мувофиқ ба тозакунии вақт ниёз доштанд.
Масалан, ҳашинг кардани сирр ҳангоми истихроҷи калид набояд ҳолати кории муҳаррики хэшро дар хотираи дубора истифодашаванда тарк кунад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: sha2 0.10.9 | local compatibility backport
Вуруди вайроншуда метавонад тақсимоти азимро талаб кунад, берун аз майдони эълонкардааш хонад, бе пешравӣ гардиш кунад ё роҳҳои пуршиддат ва ваҳмро ба вуҷуд орад. Ташхиси вектори махфӣ ва вуруди қисман ноком низ ба тозакунӣ ниёз дошт.
Масалан, паёми ночизе, ки бардурӯғ даъво дорад, ки майдони азимро дар бар мегирад, набояд хотираи азимро истеъмол кунад ё барномаро дар як ҳалқаи беохир гузорад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: tls_codec 0.4.2 | local audited patch
Калиди якпорчагии паёми STUN метавонад дар ташхис чоп карда шавад ва он бо матни муваққатии эътимоднома тоза карда нашудааст.
Масалан, сабти хатогии пайвастшавӣ набояд сирри барои тасдиқи дархости реле истифодашударо ошкор кунад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: stun 0.17.1 | audit patch 6e5cbb42
Пароли дарозмуддати TURN ҳамчун як сатри оддӣ нигоҳ дошта мешуд ва ҳангоми нест кардани муштарӣ тозакунии возеҳ лозим буд.
Масалан, анҷом додани занг набояд пароли релеи онро дар хотираи объекти муштарии кӯҳна боқӣ монад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: turn 0.17.1 | audit patch 6e5cbb42
Номҳои корбар ва паролҳои TURN ҳамчун сатрҳои оддӣ нигоҳ дошта шуданд ва ба таври худкор дар баромади ислоҳи ICE чоп карда шуданд.
Масалан, гузориши пайвастшавӣ ба занг метавонад гӯяд, ки маълумоти эътимоднома мавҷуд аст, аммо он набояд номи корбар ва паролро чоп кунад.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: webrtc-ice 0.17.1 | audit patch 6e5cbb42
Вуруди калидҳои ҳосилшудаи медиа, калидҳои ҳосилшуда, намакҳои захирашудаи SRTP/SRTCP ва ҳолати кори рамз ба тозакунии боэътимод ниёз доштанд.
Масалан, пас аз ба охир расидани занги рамзгузоришуда, калидҳои медиаи муваққатӣ ва намакҳои он набояд дар буферҳои оддӣ бимонанд.
Ислоҳи маҳаллӣ омода шудааст, санҷиш идома дорад.
Тафсилоти техникӣ: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
Барои ёддоштҳои beta ва навсозиҳои access, ҳисоби шахсии X-и маро пайгирӣ кунед.