Tynus3

**Nome do Software Vulnerável e Versões Afetadas** rustls-webpki versões 0.103.0 até 0.103.12 rustls-webpki versões 0.104.0-alpha até 0.104.0-alpha.6 **Description** Ocorre uma negação de serviço devido a um pânico na função `bit string flags()` em `src/der.rs`. O problema surge quando a função processa um BIT STRING de bits nomeados com conteúdo exatamente `[0x00]` (zero bits de preenchimento e nenhum byte de dados), causando um subfluxo de subtração em um slice vazio e um pânico subsequente de índice fora dos limites. Esta condição é alcançável através das APIs públicas `BorrowedCertRevocationList::from der()` e `OwnedCertRevocationList::from der()` quando uma Lista de Revogação de Certificados (CRL) contém uma extensão `issuingDistributionPoint` com um valor `onlySomeReasons` especialmente manipulado. Este pânico pode ocorrer antes que a assinatura da CRL seja verificada. A exploração requer que a aplicação habilite explicitamente a verificação de revogação de CRL passando `RevocationOptions` para a função `verify for usage()` e processe bytes de CRL obtidos de uma fonte controlada pelo invasor. A configuração padrão não utiliza `RevocationOptions` e, portanto, não é afetada. **Recommendations** Atualizar as versões 0.103.0 até 0.103.12 do rustls-webpki para a versão 0.103.13. Atualizar as versões 0.104.0-alpha até 0.104.0-alpha.6 do rustls-webpki para a versão 0.104.0-alpha.7.