CVE-2026-24850
Açıklama
ML-DSA crate, Module-Lattice-Based Digital Signature Standard'ın (ML-DSA) Rust uygulamasıdır. Versiyon 0.0.4 ile başlayıp versiyon 0.1.0-rc.4 öncesine kadar olan sürümlerde, RustCrypto `ml-dsa` crate içerisindeki ML-DSA imza doğrulama uygulaması, tekrarlanan (yinelenen) ipucu indekslerine sahip imzaları hatalı bir şekilde kabul etmektedir. ML-DSA spesifikasyonuna (FIPS 204 / RFC 9881) göre, her polinom içindeki ipucu indeksleri kesinlikle artan (**strictly increasing**) olmalıdır. Mevcut uygulama, katı olmayan monotonik bir kontrol (`<` yerine `<=`) kullanarak yinelenen indekslere izin vermektedir. Bu durum bir regresyon hatasıdır. Orijinal uygulama doğruydu ancak versiyon 0.0.4'teki bir commit, katı `<` karşılaştırmasını yanlışlıkla `<=` olarak değiştirerek güvenlik açığına yol açmıştır. Versiyon 0.1.0-rc.4 bu sorunu düzeltmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| RustCrypto signatures | >= 0.0.4, < 0.1.0-rc.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.