CVE-2026-24785

Clatter, post-kuantum desteğine sahip, no_std uyumlu ve saf Rust ile yazılmış bir Noise protokol çerçevesi uygulamasıdır. 2.2.0 öncesindeki sürümler, bir protokol uyumluluk zafiyetine sahiptir. Kütüphane, PSK geçerlilik kuralını (Noise Protocol Framework Bölüm 9.3) ihlal eden post-kuantum el sıkışma desenlerine izin vermekteydi. Bu durum, PSK türevli anahtarların, kendi seçilen geçici rastgelelik yoluyla uygun şekilde randomize edilmeden şifreleme için kullanılmasına yol açarak güvenlik garantilerini zayıflatabilir ve potansiyel olarak yıkıcı anahtar yeniden kullanımına izin verebilir. Etkilenen varsayılan desenler arasında `noise_pqkk_psk0`, `noise_pqkn_psk0`, `noise_pqnk_psk0`, `noise_pqnn_psk0` ve bazı hibrit varyantlar yer almaktadır. Bu desenleri kullanan kullanıcılar, amaçlanan güvenlik özelliklerini karşılamayan el sıkışmalar kullanmış olabilirler. Sorun tamamen giderilmiş ve Clatter v2.2.0 sürümüyle yayınlanmıştır. Düzeltilen sürüm, sorunlu el sıkışma desenlerini tespit etmek için çalışma zamanı kontrolleri içermektedir. Geçici bir çözüm olarak, post-kuantum desenlerinin sorunlu `*_psk0` varyantlarını kullanmaktan kaçının. Özel el sıkışma desenlerini dikkatle inceleyin.