UmbrellaX shaxsiy beta yangilanishi
Xavfsizlik tekshiruvimiz davomida biz shifrlash va xavfsiz aloqa uchun ishlatiladigan bir nechta ochiq manba kutubxonalarida jiddiy muammolarni topdik. Mahalliy tuzatishlar tayyor, lekin ular hali ham toʻliq tekshirish va mustaqil tekshirishga muhtoj. Ushbu xavflar yopilishiga ishonch hosil qilmagunimcha, beta-versiyani chiqarmayman.
Bu erda oddiy tilda to'liq ro'yxat. Nima noto'g'ri bo'lishi mumkinligini, kundalik misol va yamoq havolasini ko'rish uchun bo'limni oching.
Shifrlangan guruh sirlari xotirada yoki diagnostikada qo'shimcha nusxalarni qoldirishi mumkin. Noto'g'ri shifrlangan matn, xush kelibsiz xabarlar, takliflar, yangilanish yo'llari, etishmayotgan mahalliy kalitlar, tasodifiy raqamlar xatosi, noodatiy tizim vaqti va davr chegaralari xavfsiz xatoni qaytarish o'rniga ilovani yopishi mumkin. Ba'zi daraxtlarning yaxlitligi va yo'l uzunligi tekshiruvlari har bir chiqarish yo'lida kafolatlanmagan.
Masalan, tarmoqdan olingan buzilgan guruh yangilanishi messenjerni yopmasdan, yaxlitlik tekshiruvini o'tkazib yubormasdan yoki ishdan chiqish hisobotida xabar baytlarini ko'rsatmasdan rad etilishi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
O'chirilgan yoki almashtirilgan MLS yozuvlari xotirada ketma-ketlashtirilgan nusxalarni yoki yashirin taklif organlarini qoldirishi mumkin. Guruh oniy suratlari ko‘lamli atom almashinuvini, disk raskadrovka ruxsatini tahrirlashni va autentifikatsiya qilingan shifrlangan ma’lumotlar o‘rniga o‘qilishi mumkin bo‘lgan shifrlangan matnni saqlaydigan ixtiyoriy davomiylik rejimini talab qildi.
Masalan, guruhni oʻchirish uning yashirin kutilayotgan takliflarini ham olib tashlashi kerak va saqlash opsiyasi maʼlumotlarni faqat oʻqiladigan matnga aylantirganda shifrlangan koʻrinmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
Foydalanilmayotgan ixtiyoriy backend hali ham zaif paketni qaramlik inventariga tortdi. HPKE shaxsiy materiallari ham kuchliroq tahrir va xotirani tozalashga muhtoj edi.
Masalan, biz foydalanmayotgan backend relizga ma'lum bo'lgan zaif paketni keltirmasligi kerak va xato chop etishda hech qachon HPKE shaxsiy kaliti bo'lmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: hpke-rs 0.6.1 | RUSTSEC-2026-0124
Tasodifiy generator va vaqtinchalik HPKE qiymatlari haqiqiy tozalashga muhtoj edi. Muvaffaqiyatsiz autentifikatsiya qilingan shifrlash xotirada qisman o'zgartirilgan ochiq matn buferini ham qoldirishi mumkin.
Misol uchun, agar xabar autentifikatsiya qilinmasa, yarim qayta ishlangan ochiq matn buferi darhol o'chirilishi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: hpke-rs-rust-crypto 0.6.1 | UMB-122
Tasodifiy holat, kalit hosilasi chiqishi, shaxsiy kalit baytlari va muvaffaqiyatsiz shifrlash buferlari tozalashni talab qildi. Yaroqsiz uzunliklar va qo‘llab-quvvatlanmaydigan kalit almashish so‘rovlari jarayonni tugatish yo‘llariga etib borishi mumkin.
Misol uchun, noto'g'ri tuzilgan nonce messenjerni yopish o'rniga oddiy xatoni qaytarishi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
Nonces, ulushlar, skalyar baytlar va vaqtincha o'qilishi mumkin bo'lgan maxfiy qatorni imzolash muvaffaqiyat va xato yo'llarini tozalashni talab qildi. Foydalanilmayotgan xususiyat, shuningdek, qo'llab-quvvatlanmagan qaramlik zanjirini ham tortib oldi.
Masalan, guruh imzosi uchun foydalanilgan vaqtinchalik qiymatlar imzolash tugagandan yoki muvaffaqiyatsizlikka uchraganidan keyin xotirada o'qilishi mumkin bo'lmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: frost-core 3.0.0 | local audited patch
O'chirilgan soxta tasodifiy kalitlar va oraliq kalitlarni kengaytirish bloklari yakuniy kalit ishlab chiqarilgandan keyin xotirada qolishi mumkin edi.
Misol uchun, seans kaliti tayyor bo'lgach, uni olish uchun ishlatiladigan vaqtinchalik ingredientlar o'chirilishi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: hkdf 0.12.4 | local compatibility backport
Olingan kalit bloklari, katta o'lchamli kalit dayjestlar va mos keladigan HMAC filialidagi ichki xesh natijalari oddiy xotirada qolishi mumkin.
Masalan, xabarning haqiqiyligini tekshirish qayta foydalanish mumkin bo'lgan kalitdan olingan baytlarni qoldirmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: hmac 0.12.1 | local compatibility backport
Mavjud tozalash opsiyasi sukut bo'yicha o'chirilgan va vaqtinchalik va saqlangan kalitdan olingan holatning faqat bir qismini qamrab olgan.
Masalan, autentifikatsiya tekshiruvini bajarish vaqtinchalik va saqlangan kalitlardan olingan bloklarni tozalashi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: hmac 0.13.0 | local audited patch
SHA-256 va SHA-512 ish holati va blok hisoblagichlari mos keladigan tarmoqqa tushish vaqtini tozalashni talab qildi.
Misol uchun, kalitni hosil qilish paytida sirni xeshlash qayta foydalanish mumkin bo'lgan xotirada xesh mexanizmining ish holatini qoldirmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: sha2 0.10.9 | local compatibility backport
Buzilgan kirish katta ajratishni talab qilishi, e'lon qilingan maydondan tashqarida o'qish, progresssiz aylanish yoki to'lib ketish va vahima yo'llarini ishga tushirishi mumkin. Maxfiy vektor diagnostikasi va qisman noto'g'ri kiritish ham tozalashni talab qildi.
Misol uchun, katta maydonni o'z ichiga olgan deb noto'g'ri da'vo qiladigan kichik xabar katta xotirani iste'mol qilmasligi yoki ilovani cheksiz tsiklda tuzoqqa tushirmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: tls_codec 0.4.2 | local audited patch
STUN xabarining yaxlitligi kaliti diagnostikada chop etilishi mumkin va vaqtinchalik hisob ma'lumotlari matni bilan aniq o'chirilmagan.
Masalan, ulanish xatosi jurnali o'tish so'rovini autentifikatsiya qilish uchun ishlatiladigan sirni oshkor qilmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: stun 0.17.1 | audit patch 6e5cbb42
Uzoq muddatli TURN paroli oddiy qator sifatida saqlangan va mijoz yo'q qilinganida aniq o'chirish kerak edi.
Misol uchun, qo'ng'iroqni tugatish eski mijoz ob'ektining xotirasida uning o'tish parolini qoldirmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: turn 0.17.1 | audit patch 6e5cbb42
TURN foydalanuvchi nomlari va parollari oddiy satrlar sifatida saqlangan va avtomatik ravishda ICE disk raskadrovka chiqishida chop etilgan.
Misol uchun, qo'ng'iroqqa ulanish hisoboti hisobga olish ma'lumotlari mavjudligini aytishi mumkin, lekin u foydalanuvchi nomi va parolni chop etmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: webrtc-ice 0.17.1 | audit patch 6e5cbb42
Media kaliti hosilasini kiritish, olingan kalitlar, saqlangan SRTP/SRTP tuzlari va shifrning ish holati ishonchli tozalashni talab qildi.
Masalan, shifrlangan qo'ng'iroq tugagandan so'ng, uning vaqtinchalik media kalitlari va tuzlari oddiy buferlarda qolmasligi kerak.
Mahalliy tuzatish tayyor, tekshirish davom etmoqda.
Texnik tafsilotlar: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
Beta eslatmalari va kirish yangiliklari uchun mening shaxsiy X akkauntimni kuzating.