CVE-2026-24785 in clatter
Riassunto
di VulDB • 17/06/2026
Clatter è un'implementazione pura in Rust, compatibile con no_std, del framework del protocollo Noise con supporto post-quantistico. Le versioni precedenti alla 2.2.0 presentano una vulnerabilità di conformità al protocollo. La libreria consentiva pattern di handshake post-quantistici che violavano la regola di validità della PSK (Sezione 9.3 del Noise Protocol Framework). Ciò potrebbe consentire l'utilizzo di chiavi derivate da PSK per la crittografia senza una corretta randomizzazione tramite casualità effimera scelta autonomamente, indebolendo le garanzie di sicurezza e potenzialmente consentendo un riutilizzo catastrofico delle chiavi. I pattern predefiniti interessati includono `noise_pqkk_psk0`, `noise_pqkn_psk0`, `noise_pqnk_psk0`, `noise_pqnn_psk0` e alcune varianti ibride. Gli utenti di questi pattern potrebbero aver utilizzato handshake che non soddisfano le proprietà di sicurezza previste. Il problema è stato completamente risolto e rilasciato in Clatter v2.2.0. La versione corretta include controlli in fase di esecuzione per rilevare i pattern di handshake non conformi. Come soluzione alternativa, evitare di utilizzare le varianti `*_psk0` non conformi dei pattern post-quantistici. Rivedere attentamente i pattern di handshake personalizzati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.