CVE-2026-93599 in rustls-webpki
Zusammenfassung
von VulDB • 18.09.2026
rustls-webpki bis Version 0.103.12 (sowie die Alpha-Veröffentlichungen von 0.104.0 vor 0.104.0-alpha.7) enthält einen erreichbaren Panic in bit_string_flags() in src/der.rs. Die Eingabeprüfung scheitert daran, ein benanntes BIT STRING mit named-bit abzulehnen, dessen Inhalt genau [0x00] ist (Null-Padding-Bits und keine Datenbytes), sodass raw_bits.len() - 1 unterläuft bei einem leeren Slice und die nachfolgende Indexoperation einen Panic auslöst (Subtraktion mit Überlauf im Debug-Modus, Index außerhalb der Grenzen im Release-Modus). Die Bedingung ist über die öffentliche API BorrowedCertRevocationList::from_der() erreichbar, wenn eine CRL eine issuingDistributionPoint-Erweiterung mit einem solchen onlySomeReasons-Wert enthält. Für die Ausnutzung (Exploitation) wird eine Anwendung benötigt, die explizit zur Überprüfung von CRL-Entzugsoptionen übergeht, indem sie RevocationOptions an verify_for_usage() übergibt und CRL-Bytes aus einer vom Angreifer beeinflussbaren Quelle parst; die Standardkonfiguration von rustls, die keine RevocationOptions verwendet, ist nicht betroffen. Eine speziell angefertigte CRL verursacht einen Denial of Service (DoS) durch den Panic. Behoben in 0.103.13 und 0.104.0-alpha.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.