CVE-2023-40583

WysokieCVSS 7.5

Opublikowano: 25/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.77%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

W bibliotece go-libp2p, z wykorzystaniem podpisanych rekordów peer, złośliwy aktor może przechować dowolną ilość danych w pamięci zdalnego węzła. Pamięć ta nie jest zbierana przez garbage collector, co może prowadzić do wyczerpania pamięci i awarii węzła.

Ocena ryzyka

Brak monitorowania zużycia pamięci przez użytkowników go-libp2p w produkcji może prowadzić do cichych ataków, które stopniowo wyłączają węzły. Czas potrzebny na wyłączenie węzła zależy od zasobów serwera.

Rekomendacja

Zaleca się monitorowanie zużycia pamięci węzłów korzystających z go-libp2p oraz aktualizację do wersji 0.27.4, aby załatać tę podatność.

Inne podatności w go-libp2p

CVE-2023-39533Wysokie
W go-libp2p, przed wersjami 0.27.8, 0.28.2 i 0.29.1, złośliwy peer może wykorzystać duże klucze RSA do przeprowadzenia ataku wyczerpania zasobów, zmuszając węzeł do spędzania czasu na weryfikacji podpisów dużego klucza.

Oryginalny opis (angielski, źródło NVD)

libp2p is a networking stack and library modularized out of The IPFS Project, and bundled separately for other tools to use. In go-libp2p, by using signed peer records a malicious actor can store an arbitrary amount of data in a remote node’s memory. This memory does not get garbage collected and so the victim can run out of memory and crash. If users of go-libp2p in production are not monitoring memory consumption over time, it could be a silent attack i.e. the attacker could bring down nodes over a period of time (how long depends on the node resources i.e. a go-libp2p node on a virtual server with 4 gb of memory takes about 90 sec to bring down; on a larger server, it might take a bit longer.) This issue was patched in version 0.27.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS