CVE-2026-61544
WysokieCVSS 8.2Streszczenie
W bibliotece libp2p-rust moduł libp2p-quic może ulec panice podczas przychodzącego uzgadniania QUIC, gdy zdalny peer przedstawi ważny krótkotrwały certyfikat TLS libp2p i opóźni ostatni fragment uzgadniania TLS 1.3 do momentu wygaśnięcia certyfikatu. W ścieżce aktualizacji po uzgadnianiu Quinn kod wywołuje ponownie libp2p_tls::certificate::parse i używa expect na wyniku; powtórne sprawdzenie ważności czasowej może odrzucić wygasły certyfikat, powodując zakończenie aplikacji przez expect. Podatność naprawiono w wersji 0.13.1.
Ocena ryzyka
Zdalny atakujący może wywołać panikę i zatrzymanie aplikacji nasłuchującej na porcie libp2p-quic, powodując odmowę usługi. Wystarczy jedno spreparowane połączenie przychodzące.
Rekomendacja
Zaktualizuj bibliotekę libp2p-rust do wersji 0.13.1 (lub nowszej). Do czasu aktualizacji rozważ ograniczenie dostępu do nasłuchujących portów libp2p-quic.
Inne podatności w libp2p-rust
Zobacz wszystkie- CVE-2026-33040Wysokie
W wersjach przed 0.49.3 implementacja Gossipsub w libp2p-rust akceptuje wartości PRUNE backoff kontrolowane przez atakującego, co może prowadzić do przepełnienia czasu i paniki w maszynie stanów sieciowych.
- CVE-2026-34219Średnie
W libp2p-rust przed wersją 0.49.4 implementacja Gossipsub zawiera zdalnie osiągalny błąd paniki w obsłudze wygaśnięcia backoff. Po otrzymaniu spreparowanej wiadomości PRUNE z wartością backoff bliską maksymalnej, implementacja wykonuje niekontrolowane dodawanie czasu, co prowadzi do przepełnienia i paniki.
Oryginalny opis (angielski, źródło NVD)
libp2p-rust is the official Rust language implementation of the libp2p networking stack. Prior to 0.13.1, libp2p-quic could panic during an inbound QUIC handshake when a remote peer presented a valid short-lived libp2p TLS certificate and delayed the final TLS 1.3 handshake fragment until after the certificate expired. In the Quinn post-handshake upgrade path, transports/quic/src/connection/connecting.rs called libp2p_tls::certificate::parse a second time in remote_peer_id and used expect on the result. The repeated wall-clock validity check could reject the now-expired certificate, causing the expect call to terminate any application exposing an affected libp2p-quic listener. This vulnerability is fixed in 0.13.1.