CVE-2026-40092
WysokieStreszczenie
W wersjach 1.3.0 i poniżej, złośliwy węzeł sieciowy może spowodować awarię dowolnego pełnego węzła Nimiq, publikując spreparowany rekord Kademlia DHT. Rekord ten zawiera pole podpisu o długości bajtów różnej od 64, co prowadzi do paniki w trakcie weryfikacji.
Ocena ryzyka
Organizacja może doświadczyć przerwy w działaniu usług związanych z Nimiq, co może prowadzić do utraty dostępności i zaufania użytkowników. Złośliwe ataki mogą być przeprowadzane przez nieautoryzowanych uczestników sieci.
Rekomendacja
Zaleca się aktualizację do wersji 1.4.0 lub nowszej, aby usunąć tę podatność. Monitorowanie i zabezpieczenie węzłów przed złośliwymi działaniami również jest wskazane.
Oryginalny opis (angielski, źródło NVD)
nimiq-blockchain provides persistent block storage for Nimiq's Rust implementation. In versions 1.3.0 and below, a malicious network peer can crash any Nimiq full node by publishing a crafted Kademlia DHT record. The maliciously crafted record would contain a TaggedSigned<ValidatorRecord, KeyPair> with a signature field whose byte length is not exactly 64 in order to cause a crash. When the victim node's DHT verifier calls TaggedSigned::verify, execution reaches Ed25519Signature::from_bytes(sig).unwrap() in the TaggedPublicKey implementation for Ed25519PublicKey. The from_bytes call fails because ed25519_zebra::Signature::try_from rejects slices not 64 bytes, and the unwrap() panics. The BLS TaggedPublicKey implementation correctly returns false on error; only the Ed25519 implementation panics. This issue has been fixed in version 1.4.0.