rust-libp2p: fix panic on post-handshake cert validation (GHSA-8qhw-3q4w-jq7h)

Key Vulnerability Information Summary Vulnerability Overview Issue: During post-TLS-handshake certificate validation, if the validation fails, the original code would directly call , causing a process crash. Remediation Goal: Replace the panic with an error return ( ) to prevent process crashes caused by certificate validation failures. Scope of Impact Repository: Commit: (branch , v0.57.0) Affected Files: - : Pin the version to and enable the and features. - : Contains the core remediation logic. - : New unit tests added. Related: The fix references GHSA security advisory (rust-libp2p security advisory). Remediation Details 1. Core Changes in : - In the implementation, change certificate validation failure from to constructing a : - Certificate retrieval logic: Prioritize using the certificate corresponding to the ; if not found, return a error instead of panicking. - Add a field to store certificates using , and retrieve them from the during construction. 2. New Tests in : - Add a test to verify that expired certificates return an error rather than panic: ```rust #[test] fn parse_rejects_expired_certificate() { // Regression for GHSA-8qhw-3q4w-jq7h: expired cert must error, not panic. let identity = Identity::Keypair::generate_ed25519(); let signing = rcgen::KeyPair::generate_for(PK_SIGNATURE_ALGORITHM::ed25519); let mut params = rcgen::CertificateParams::default(); params.distinguished_name = rcgen::DistinguishedName::new(); params.not_before = rcgen::date_time(1970, 1, 1); params.not_after = rcgen::date_time(1975, 1, 1); params .custom_extensions .push(rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &rcgen::X509Extension::new( &r

Goal Reached Thanks to every supporter — we hit 100%!

rust-libp2p: fix panic on post-handshake cert validation (GHSA-8qhw-3q4w-jq7h)

More from this source