Radicle、全バージョンに暗号化欠如となりすましの脆弱性——プライベートリポジトリの使用中止を推奨

Radicle: Disclosure of Vulnerability in the Network Protocol

Radicleのネットワークプロトコルに2つの重大な脆弱性が発見された。ノード間の通信が暗号化も認証もされておらず、経路上の攻撃者がデータを盗聴できる。さらに、接続ハンドシェイクのピア認証が壊れており、攻撃者がallow-listのNode IDを偽装してプライベートリポジトリを取得できる。修正版は後方互換性がなくメジャーバージョンアップとなるため、それまでプライベートリポジトリの使用を中止し、漏洩した可能性のある認証情報はローテーションすべきだとしている。