CVE-2026-26275

httpsig-hyper, http mesaj imzaları için bir hyper uzantısıdır. `httpsig-hyper` sürüm 0.0.23 öncesinde, Rust'ın `matches!` makrosunun yanlış kullanımı nedeniyle Digest başlığı doğrulamasının hatalı şekilde başarılı olabildiği bir sorun keşfedilmiştir. Spesifik olarak, `if matches!(digest, _expected_digest)` karşılaştırması, `_expected_digest` ifadesini bir değer karşılaştırması yerine bir desen bağlaması (pattern binding) olarak işlemiş ve bu durum eşleşme ifadesinin koşulsuz olarak başarılı olmasıyla sonuçlanmıştır. Bunun sonucunda, hesaplanan özet beklenen değerle eşleşmese bile özet doğrulaması hatalı bir şekilde başarı döndürebilmektedir. Dolayısıyla, HTTP mesaj imzası doğrulamasının bir parçası olarak Digest doğrulamasına güvenen uygulamalar, mesaj gövdesindeki değişiklikleri tespit edemeyebilir. Şiddet düzeyi, kütüphanenin nasıl entegre edildiğine ve ek imza doğrulama katmanlarının uygulanıp uygulanmadığına bağlıdır. Bu sorun `httpsig-hyper` 0.0.23 sürümünde giderilmiştir. Düzeltme, hatalı `matches!` kullanımını uygun değer karşılaştırması ile değiştirmiş ve ayrıca derinlemesine savunma amacıyla özet doğrulaması için sabit zamanlı karşılaştırma (constant-time comparison) getirmiştir. Bu sorunun tekrar ortaya çıkmasını önlemek için regresyon testleri de eklenmiştir. Kullanıcıların yamalanmış sürüme yükseltmeleri şiddetle tavsiye edilir. Yükseltme yapmadan uygulanabilecek güvenilir bir geçici çözüm yoktur. Hemen yükseltme yapamayan kullanıcılar, mesaj bütünlüğü için yalnızca Digest doğrulamasına güvenmekten kaçınmalı ve uygulama katmanında tam HTTP mesaj imzası doğrulamasının uygulandığından emin olmalıdır.