Vulnerabilidad en httpsig-hyper (CVE-2026-26275)

httpsig-hyper es una extensión hyper para firmas de mensajes HTTP. Se descubrió un problema en 'httpsig-hyper' anterior a la versión 0.0.23 donde la verificación del encabezado Digest podría ser exitosa, aunque de forma indebida, por el mal funcionamiento de la macro 'matches!' de Rust. Específicamente, la comparación 'if matches!(digest, _expected_digest)' trataba '_expected_digest' como una vinculación de patrón en lugar de una comparación de valor, lo que resultaba en el éxito incondicional de la expresión de coincidencia. Como consecuencia, la verificación del digest podía devolver éxito incorrectamente incluso cuando el digest calculado no coincidía con el valor esperado. Por lo tanto, las aplicaciones que dependen de la verificación de Digest como parte de la validación de firmas de mensajes HTTP, pueden no detectar la modificación del cuerpo del mensaje. La gravedad depende de cómo se integra la biblioteca y si se aplican capas adicionales de validación de firmas. Este problema ha sido solucionado en 'httpsig-hyper' 0.0.23. La solución reemplaza el uso incorrecto de 'matches!' por una comparación de valor adecuada y adicionalmente introduce una comparación de tiempo constante para la verificación del digest como defensa en profundidad. También se han añadido pruebas de regresión para evitar la reintroducción de este problema. Se recomienda encarecidamente a los usuarios que actualicen a la versión parcheada. No hay una solución alternativa fiable sin actualizar. Los usuarios que no puedan actualizar inmediatamente deben evitar depender únicamente de la verificación de Digest para la integridad del mensaje y asegurarse de que la verificación completa de la firma de mensajes HTTP se aplique en la capa de aplicación.