GHSA-c8m5-c952-6cm4

Mở trang đầy đủ

CVSS 4.0 MEDIUM

Rustls: Session Debug formatting exposes TLS master secrets and resumption PSKs

Công bố
Cập nhật
Lần đầu thấy
Nguồn
GitHub Advisory, OSV.dev

Mô tả

Summary

Formatting a client session value with Debug exposes its TLS 1.2 master secret or TLS 1.3 resumption PSK. A custom session store that logs these values can disclose keys to readers of the logs. Ordinary connection and built-in cache diagnostics remain redacted, and the session-store interface already warns that its values are sensitive.

Details

Derived formatters traverse the session's secret-bearing fields. This conflicts with the project's explicit key-material redaction policy.

Proof of concept

Custom ClientSessionStore implementations could leak secret data by using the provided Tls12ClientSessionValue or Tls13ClientSessionValue in a way that triggers its implementation of the Debug trait.

Impact

Such store implementations could leak the master secret for the TLS connection.

Acknowledgement

Thanks to OpenAI OutboundDisclosures@openai.com for the disclosure.

Điểm và phân loại

CVSS
4.0 MEDIUM v3.1
Nguồn điểm
GitHub Advisory
Mức độ (theo nguồn)
MEDIUM
EPSS
—
CWE
CWE-212

Vector CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
rust rustls < 0.23.46 0.23.46
rust rustls >= 0.24.0-dev.1, < 0.24.0-dev.2 0.24.0-dev.2

Vì sao bị lọc

  • CVSS 4.0 < 8.0 và không thuộc CISA KEV

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

OSV.dev · ID
GHSA-c8m5-c952-6cm4

Tham khảo