CVE-2026-52879
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Klever-Go w wersjach 1.7.14 do 1.7.17 jest podatny na zdalnie wyzwalany atak DoS przez nieograniczone tworzenie gorutyn. Obsługa bezpośrednich wiadomości tworzy nową gorutynę dla każdej wiadomości przed sprawdzeniem antiflood, co pozwala pojedynczemu peerowi na wysłanie strumienia wiadomości i przeciążenie węzła.
Ocena ryzyka
Atakujący może zdegradować dostępność węzła i jego zdolność do przetwarzania legalnego ruchu, co może zakłócić działanie sieci.
Rekomendacja
Zaleca się aktualizację do wersji 1.7.18, która zawiera poprawkę.
Inne podatności w Klever-Go
Zobacz wszystkie- CVE-2026-54755Krytyczne
Klever-Go przed wersją 1.7.19 zawiera podatność w dekodowaniu pól split-royalty, które mogą zawierać wartości większe niż core.HundredPercent, a sumowanie w akumulatorach uint32 może spowodować zawinięcie sumy do zera i ominięcie walidacji. Ścieżki wypłat royalty kredytują każdą nadmierną kwotę i po cichu odrzucają ujemną resztę, co pozwala na tworzenie niepokrytych aktywów KLV lub innych. Problem naprawiono w wersji 1.7.19.
- CVE-2026-54754Krytyczne
Klever-Go przed wersją 1.7.19 zawiera podatność w rozliczeniach rynkowych, gdzie odczytuje ReferralPercentage z oferty, a Royalties.MarketPercentage na żywo w momencie zakupu. Właściciel aktywa może utworzyć ważną ofertę, a następnie użyć AssetTrigger UpdateRoyalties, aby połączone wartości procentowe przekroczyły cenę oferty. Wykonanie zakupu płaci kwoty referral i royalty bezwarunkowo, podczas gdy computeMarketOwnerAmount pomija nieujemną resztę sprzedawcy, co pozwala na kredytowanie większej ilości waluty niż zapłacono. Problem naprawiono w wersji 1.7.19.
- CVE-2026-55764Wysokie
Podatność w Klever-Go (implementacja blockchain Klever) przed wersją 1.7.19. Posiadacz roli mint może obejść limit MaxSupply dla tokenów semi-fungible, wykorzystując przepełnienie licznika, co prowadzi do zakredytowania ogromnej ilości jednostek i uszkodzenia licznika w łańcuchu. Poprawka dostępna w wersji 1.7.19.
- CVE-2026-55763Wysokie
Klever-Go to implementacja protokołu blockchain Klever w języku Go. Przed wersją 1.7.19 funkcja processPercentageRoyaltiesTransfer w core/kapp/accounts/accounts.go wywołuje SubFromBalance po pętli podziału i po wczesnym powrocie, gdy royaltiesToPay <= 0. computeSplitRoyalties odrzuca tylko wtedy, gdy splitToPay > royaltiesToPay, więc prawidłowy podział PercentTransferPercentage = 10000 zużywa dokładnie 100 procent puli tantiem, ustawia royaltiesToPay na zero i zwraca przed obciążeniem konta źródłowego. Odbiorca podziału otrzymuje pełną kwotę tantiem, podczas gdy nadawca nic nie płaci, a licznik podaży nie jest aktualizowany, co pozwala na nieograniczoną inflację transferowanego KDA poza księgami. Właściciel KDA musi skonfigurować tantiemę TransferPercentage z 100-procentowym podziałem, po czym każdy transfer zasobu przez posiadacza wyzwala bicie; ścieżka processFixedRoyaltiesTransfer nie jest dotknięta, ponieważ obciąża źródło przed dystrybucją. Problem jest naprawiony w wersji 1.7.19.
- CVE-2026-52880Wysokie
Klever-Go, implementacja protokołu blockchain Klever w Go, w wersjach od 1.7.14 do 1.7.17 jest podatna na zdalnie wyzwalany atak DoS. Serwery REST są uruchamiane z domyślnym serwerem HTTP Go bez skonfigurowanych limitów (ReadHeaderTimeout, ReadTimeout, MaxHeaderBytes), co pozwala na trzymanie połączeń otwartych w nieskończoność, prowadząc do wyczerpania deskryptorów plików.
- CVE-2026-52878Wysokie
Klever-Go w wersjach 1.7.14 do 1.7.17 jest podatny na panikę z powodu nil-wskaźnika wywołaną przez transakcję protobuf z pominiętym polem RawData. Brak sprawdzenia nil przed dereferencją tx.RawData.Version w txVersionChecker.CheckTxVersion powoduje crash całego procesu węzła, co może doprowadzić do zatrzymania łańcucha.
- CVE-2026-49343Średnie
Klever-Go, implementacja protokołu blockchain Klever w Go, w wersjach przed 1.7.18 ma podatność na wyczerpanie zasobów w synchronizatorach trie danych konta. Błędy w ścieżkach błędów powodują trwałe zużycie slotów throttlera, co może doprowadzić do zatrzymania synchronizacji i awarii bootstrapu. Poprawka w wersji 1.7.18.
- CVE-2026-47249Wysokie
Klever-Go przed wersją 1.7.18 jest podatny na amplifikację tablicy skrótów w logice obsługi żądań P2P resolvera. Małe skompresowane żądanie (442 bajty) może rozwinąć się do 200 000 wpisów skrótów, powodując zdalną amplifikację pamięci i CPU.
- CVE-2026-58262Wysokie
Klever-Go przed wersją 1.7.20 ma podatność w weryfikacji podpisu nagłówka, gdzie nieużywane bity dopełnienia PubKeysBitmap są liczone do kworum dwóch trzecich walidatorów. Złośliwy producent bloków może ustawić te bity, aby osiągnąć wymagane kworum bez prawdziwej liczby podpisów, osłabiając bezpieczeństwo konsensusu.
- CVE-2026-46403Średnie
Podatność w Klever-Go (implementacja protokołu blockchain Klever) przed wersją 1.7.17. Tryb tylko do odczytu (read-only) nie był wymuszany w ścieżkach usuwania i aktualizacji kontraktów, co pozwalało kontraktom wywołanym w trybie tylko do odczytu na modyfikację stanu łańcucha.
Oryginalny opis (angielski, źródło NVD)
Klever-Go is the Go implementation of the Klever blockchain protocol. In versions 1.7.14 through 1.7.17, the direct-message ingress handler spawns a new goroutine for every incoming direct message before the processor-level antiflood layer makes any admission decision, with no semaphore, throttler, or bound on the number of concurrent in-flight spawns. Because the antiflood check runs inside the spawned goroutine rather than before it, a single connected peer can open a direct-send stream and send a stream of well-formed messages to force unbounded goroutine creation, where each goroutine allocates its own stack and holds a message reference until processing completes, adding scheduler and garbage-collection pressure faster than the runtime can drain it. This lets one peer degrade the node's availability and its ability to process legitimate traffic, resulting in a remotely triggerable denial of service. The issue is fixed in 1.7.18.