Bu patch release ile tealdeer’ın dependency’leri güncellendi. Özellikle
zip crate’i ve webpki root’ları en güncel sürümlere yükseltildi. Bu güncelleme, bir saldırganın yakın zamanda ele geçirilen TLS certificate’larını kullanarak cache update işlemi için archive source gibi davranabileceği ve ardından
zip crate’indeki vulnerability’lerden yararlanan malicious bir ZIP archive sunabileceği teorik bir saldırıyı önlüyor.
Bu tür bir saldırının gerçek ortamda gerçekleştirildiğine dair bilinen bir durum bulunmuyor ancak güvenli tarafta kalmak için update yapılması öneriliyor. tealdeer 1.9 öncesi bir version kullanıyorsanız distribution’ınızın kullandığınız tealdeer version için güncel bir build sağlayıp sağlamadığını kontrol etmeniz veya committed lockfile’ı kullanmadan tealdeer’ı source’tan kendiniz build etmeniz öneriliyor.
Ayrıca bu release, üç edge case için bug fix içeriyor.
Değişiklikler
- Değiştirildi: Broken pipe veya non-UTF-8 config path durumlarında panic oluşması engellendi ve path traversal içeren page name’ler reddediliyor.
- Güvenlik:
zip 9 sürümüne güncellendi ve cargo update çalıştırılarak dependency’ler güncellendi.
