CVE-2026-24785: Biblioteca Clatter em Rust (Noise): violação da regra de validade de PSK em padrões de handshake pós-quânticos

Visão geral

A CVE-2026-24785 é uma falha de conformidade com o protocolo no Clatter, implementação em Rust pura, compatível com no_std, do framework de protocolos Noise com suporte a pós-quântico. Segundo o registro, versões anteriores à 2.2.0 permitiam padrões de handshake pós-quânticos que violam a regra de validade de PSK definida na especificação Noise. A regra de validade do Noise é a referência do comportamento esperado.

Impacto

O registro afirma que isso poderia permitir o uso de chaves derivadas de PSK na cifragem sem a randomização adequada proveniente de aleatoriedade efêmera escolhida pelos participantes do handshake. Isso pode enfraquecer as garantias de segurança pretendidas e, potencialmente, levar à reutilização catastrófica de chaves. A pontuação NVD é 9.1 pelo CVSS 3.1, com alto impacto de confidencialidade e integridade, e a pontuação do CNA é 8 pelo CVSS 4.0.

Produtos afetados e versões

• Produto: Jmlepisto Clatter
• Faixa afetada: versões anteriores à 2.2.0
• Versão corrigida: 2.2.0, que, segundo o registro, inclui verificações em tempo de execução que detectam padrões de handshake problemáticos
• Padrões padrão afetados citados no registro: noise_pqkk_psk0, noise_pqkn_psk0, noise_pqnk_psk0, noise_pqnn_psk0 e algumas variantes híbridas

O registro não fornece uma lista completa das variantes híbridas, então o escopo exato além dos padrões citados é desconhecido.

Status de exploração

O registro indica que a CVE não está listada no catálogo KEV da CISA, portanto não há exploração ativa confirmada reportada. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Correção e mitigação

• Atualize o Clatter para a versão 2.2.0 ou posterior, conforme indicado no aviso de segurança do GitHub. O commit de correção é listado como patch.
• Evite as variantes de padrões pós-quânticos baseadas em PSK problemáticas até que a atualização esteja aplicada, como sugere o registro como solução paliativa.
• Revise com cuidado padrões de handshake personalizados em relação à regra de validade, pois o registro observa que padrões personalizados também podem ser afetados.

Orientação para detecção

• Inventarie aplicações e serviços que dependem do Clatter e registre a versão exata em uso, principalmente qualquer versão abaixo da 2.2.0.
• Revise configurações e código em busca dos nomes de padrões listados acima e de padrões personalizados que combinem troca de chaves pós-quântica com modos PSK.
• Após a atualização, confirme que as verificações em tempo de execução da versão 2.2.0 estão ativas e que padrões problemáticos são rejeitados em testes.

Limitações das informações disponíveis

O registro não inclui dados de EPSS ou SSVC, portanto a probabilidade de exploração é desconhecida. Ele não descreve uma prova de conceito nem incidentes reais. A lista completa de variantes híbridas e padrões personalizados afetados não é especificada, e o registro contém algumas inconsistências tipográficas nos nomes de versão e padrões. O impacto concreto depende de como cada aplicação usa o Clatter.

Perguntas frequentes

Quais versões do Clatter são afetadas pela CVE-2026-24785?

O registro indica as versões anteriores à 2.2.0 como afetadas. A versão 2.2.0 é a release corrigida citada no aviso do GitHub e no commit de correção.

Há exploração ativa conhecida dessa vulnerabilidade?

Não. O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Qual é a ação recomendada para os usuários?

Atualize o Clatter para a versão 2.2.0 ou posterior, evite os padrões pós-quânticos baseados em PSK problemáticos até a atualização e revise padrões personalizados segundo a regra de validade do Noise.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.