CVE-2026-86039
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
libp2p to implementacja stosu sieciowego libp2p w JavaScript. Od wersji 8.0.0 do 12.0.24 @libp2p/peer-store w packages/peer-store/src/index.ts używa consumePeerRecord do weryfikacji podpisu RecordEnvelope, ale nie wymaga, aby PeerRecord.peerId w podpisanym ładunku był równy identyfikatorowi peera podpisującego uzyskanemu przez RecordEnvelope.openAndCertify. Opcja expectedPeer sprawdza tylko podpisującego kopertę, a ścieżka gossipsub Peer Exchange może podać identyfikator peera atakującego jako expectedPeer. Atakujący może zatem podpisać rekord swoim kluczem, umieścić identyfikator peera ofiary i kontrolowane przez atakującego multiadresy w ładunku, a certyfikowane adresy zostaną zapisane dla ofiary. Zatrute adresy mogą powodować uszkodzenie książki adresowej, przekierowanie lub niepowodzenie połączeń, manipulację routingiem i zakłócenie osiągalności, chociaż aktualizacja połączenia nadal weryfikuje tożsamość zdalnego peera i zapobiega całkowitemu przejęciu tożsamości. Problem został naprawiony w wersji 12.0.24.
Ocena ryzyka
Atakujący może zatruć książkę adresową, przekierować lub zakłócić połączenia oraz manipulować routingiem, co może prowadzić do zakłócenia komunikacji w sieci libp2p.
Rekomendacja
Zaktualizuj @libp2p/peer-store do wersji 12.0.24 lub nowszej, która wiąże identyfikator peera w ładunku z podpisującym.
Powiązane podatności
- CVE-2026-110720Krytyczne
consul-k8s w wersjach 0.42.0 i późniejszych zawiera obejście autoryzacji między przestrzeniami nazw w regułach wiązania ACL komponentów. Może to pozwolić atakującemu na uzyskanie podwyższonych uprawnień w Consulu.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-102649Krytyczne
Podatność w operatorze Kubernetes Burrito (Terraform Automation Collaboration Software) przed wersją 0.13.0 polega na tym, że endpoint POST /api/webhook akceptuje niepodpisane zdarzenia GitHub i GitLab, gdy poświadczenia TerraformRepository nie mają ustawionego webhookSecret lub jest on pusty. Umożliwia to osobie znającej URL śledzonego repozytorium sfałszowanie zdarzeń i utworzenie lub usunięcie zasobów TerraformPullRequest z wybranymi przez atakującego polami Branch, Base i ID. W przypadku zdarzeń pull_request z GitHuba kontroler pobiera zmienione pliki na podstawie prawdziwego numeru PR, ale nie weryfikuje gałęzi z payloadu, co może prowadzić do nieautoryzowanego terraform plan z użyciem przechowywanych poświadczeń git i chmurowych.
- CVE-2026-115905Krytyczne
W bibliotece zip dla Rusta do wersji 9.0.4 ZipArchive traktuje nazwy plików z nagłówka central directory jako wiążące, podczas gdy ZipStreamReader rozpakowuje przy użyciu nazw z lokalnego nagłówka pliku, bez uzgadniania zduplikowanych metadanych. Spreparowane archiwum może wyglądać nieszkodliwie dla komponentu sprawdzającego central directory, ale spowodować zapis innej ścieżki i zawartości przez ekstraktor strumieniowy.
- CVE-2026-112346Krytyczne
OpenHands Software Agent SDK przed wersją 1.52.0 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu. Launchery DockerWorkspace i Apptainer wiążą serwer agenta sandbox z wszystkimi interfejsami sieciowymi (0.0.0.0) z pustą listą session_api_keys, co domyślnie wyłącza uwierzytelnianie.
- CVE-2026-93328Krytyczne
W Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) w wersjach 1.2.0–1.4.0 występuje podatność typu path traversal oraz brak autoryzacji w źródle cloud-storage. Nieuwierzytelniony zdalny atakujący może eksfiltrować pliki hosta do zewnętrznych bucketów Google Cloud Storage oraz nadpisać dowolne pliki lokalne poprzez spreparowane parametry wywołania narzędzia.
- CVE-2026-77055Krytyczne
Obraz boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto boneio, może wykorzystać te uprawnienia do eskalacji do roota. Problem naprawiono w wersji 1.6.0.
- CVE-2026-65184Krytyczne
Demon terminal-bridge 'wsserver' działający z uprawnieniami roota buduje polecenie powłoki z pól WebSocket dostarczonych przez klienta i przekazuje je do system() oraz popen() bez cytowania, escapowania ani walidacji zestawu znaków. Ścieżka sesji z kluczem publicznym nie wykonuje żadnego sprawdzenia sesji urządzenia.
- CVE-2026-59107Krytyczne
W funkcji udostępniania plików vSolution Matrix wykryto lukę w zabezpieczeniach. Współdzielona konfiguracja zaufania kryptograficznego może pozwolić atakującemu, który zdobędzie pasujący klucz prywatny, na uwierzytelnienie się do urządzenia przez SSH jako root. Luka dotyczy wyłącznie urządzeń skonfigurowanych jako stacja główna/master vSolution Matrix z włączoną funkcją udostępniania plików.
- CVE-2026-59106Krytyczne
W implementacji interfejsu WolfProt wykryto lukę w zabezpieczeniach. Niewystarczająca neutralizacja danych kontrolowanych przez użytkownika może pozwolić nieuwierzytelnionemu atakującemu z dostępem do sieci na wykonanie poleceń systemu operacyjnego z uprawnieniami usługi aplikacji.
Oryginalny opis (angielski, źródło NVD)
libp2p is a JavaScript implementation of the libp2p networking stack. From 8.0.0 until 12.0.24, @libp2p/peer-store in packages/peer-store/src/index.ts uses consumePeerRecord to verify a RecordEnvelope signature but does not require PeerRecord.peerId in the signed payload to equal the signer peer ID derived by RecordEnvelope.openAndCertify. The expectedPeer option checks only the envelope signer, and the gossipsub Peer Exchange path can provide the attacker's own peer ID as expectedPeer. An attacker can therefore sign a record with the attacker's key, place a victim peer ID and attacker-controlled multiaddrs in the payload, and have certified addresses stored for the victim. The poisoned addresses can cause address-book corruption, dial redirection or failure, routing manipulation, and reachability disruption, although the connection upgrade still verifies remote peer identity and prevents a complete identity takeover. The issue is fixed in version 12.0.24.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS