Vulnerabilidad en Clatter (CVE-2026-24785)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-327 Uso de algoritmo criptográfico vulnerable o inseguro

Fecha de publicación:

28/01/2026

Última modificación:

27/02/2026

Descripción

Clatter es una implementación pura de Rust, compatible con no_std, del framework del protocolo Noise con soporte post-cuántico. Las versiones anteriores a 2.2.0 tienen una vulnerabilidad de cumplimiento del protocolo. La librería permitía patrones de handshake post-cuánticos que violaban la regla de validez de PSK (Framework del Protocolo Noise Sección 9.3). Esto podría permitir que las claves derivadas de PSK se usaran para cifrado sin una aleatorización adecuada por aleatoriedad efímera auto-elegida, debilitando las garantías de seguridad y potencialmente permitiendo la reutilización catastrófica de claves. Los patrones predeterminados afectados incluyen &#39;noise_pqkk_psk0&#39;, &#39;noise_pqkn_psk0&#39;, &#39;noise_pqnk_psk0&#39;, &#39;noise_pqnn_psk0&#39;, y algunas variantes híbridas. Los usuarios de estos patrones pueden haber estado utilizando handshakes que no cumplen con las propiedades de seguridad previstas. El problema está completamente parcheado y lanzado en Clatter v2.2.0. La versión corregida incluye comprobaciones en tiempo de ejecución para detectar patrones de handshake ofensivos. Como solución alternativa, evite usar las variantes ofensivas &#39;*_psk0&#39; de patrones post-cuánticos. Revise cuidadosamente los patrones de handshake personalizados.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:U CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.00 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:U

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): Unreported

Puntuación base 4.0

8.00

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno