Platform
rust
Component
libp2p-gossipsub
Opgelost in
0.49.5
0.49.4
CVE-2026-34219 beschrijft een 'remotely reachable panic' kwetsbaarheid in de Rust libp2p Gossipsub implementatie. Een aanvaller kan een speciaal geprepareerd PRUNE bericht sturen met een bijna maximale backoff waarde, wat leidt tot een overflow en een panic tijdens de Instant + Duration berekening. Dit kan resulteren in een Denial of Service (DoS). De kwetsbaarheid treft libp2p-gossipsub versies tot 0.49.4. Een fix is beschikbaar in versie 0.49.4.
De Gossipsub-implementatie in Rust libp2p bevat een op afstand misbruikbaar panic in de 'backoff'-expiratieverwerking. Een aanvaller kan een speciaal samengesteld PRUNE-besturingsbericht verzenden met een 'backoff'-waarde die door de aanvaller wordt gecontroleerd en bijna maximaal is. Deze waarde wordt geaccepteerd en opgeslagen als een Instant dicht bij de bovenste representeerbare grens. Vervolgens voert de implementatie tijdens een heartbeat ongecontroleerde Instant + Duration-rekenkunde uit (backoff_time + slack), wat kan leiden tot een overflow en een panic. Dit panic kan de netwerkwerking verstoren, wat mogelijk leidt tot een denial-of-service of onvoorspelbaar gedrag van knooppunten die libp2p gebruiken. De ernst van de impact hangt af van de kritikaliteit van het netwerk en de fouttolerantie van de knooppunten.
Een aanvaller die de PRUNE-berichten in een libp2p-netwerk controleert, kan deze kwetsbaarheid misbruiken. Dit vereist de mogelijkheid om besturingsberichten naar netwerkknooppunten te verzenden. Het misbruik is relatief eenvoudig en omvat het verzenden van een PRUNE-bericht met een zorgvuldig gekozen 'backoff'-waarde. De effectiviteit van het misbruik hangt af van de netwerkconfiguratie en het vermogen van de aanvaller om het berichtverkeer te beïnvloeden. De kwetsbaarheid wordt als op afstand misbruikbaar beschouwd, omdat het PRUNE-bericht via het netwerk kan worden verzonden.
Applications and services that rely on the libp2p-gossipsub library for peer discovery and message routing are at risk. This includes decentralized applications (dApps), blockchain networks, and any system utilizing the libp2p networking stack. Specifically, systems with limited input validation on network messages are more vulnerable.
• rust: Examine application logs for panic messages containing overflow when adding duration to instant.
println!("Checking for panic messages: overflow when adding duration to instant");• linux / server: Monitor system logs (journalctl) for processes using libp2p-gossipsub that crash with the specified error.
journalctl -u your_libp2p_app -g "overflow when adding duration to instant"• generic web: Monitor network traffic for unusual patterns of PRUNE messages with extremely large backoff values. Use tools like Wireshark to inspect packet contents.
disclosure
Exploit Status
EPSS
0.05% (17% percentiel)
CISA SSVC
CVSS-vector
De aanbevolen oplossing is om te upgraden naar versie 0.49.4 van libp2p of hoger. Deze versie lost de kwetsbaarheid op door een overflow-controle in te voeren voordat de Instant + Duration-bewerking wordt uitgevoerd. In de tussentijd wordt, als tijdelijke maatregel, aanbevolen om libp2p-knooppunten te monitoren op onverwachte panics en de blootstelling van knooppunten aan onbetrouwbare netwerken te beperken. Netwerkbeheerders die libp2p gebruiken, moeten hun configuratie bekijken en ervoor zorgen dat knooppunten correct zijn geïsoleerd en beschermd tegen kwaadaardige berichten. De upgrade is de meest effectieve manier om het risico te beperken.
Actualice la biblioteca rust-libp2p a la versión 0.49.4 o superior. Esta versión corrige la vulnerabilidad de desbordamiento aritmético en el manejo de expiración de backoff en Gossipsub. La actualización previene posibles panics remotos causados por mensajes PRUNE manipulados.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Gossipsub is een geruchtenverspreidingsprotocol dat in peer-to-peer-netwerken wordt gebruikt om informatie efficiënt en robuust te distribueren.
Versie 0.49.4 lost de panic-kwetsbaarheid in de 'backoff'-verwerking op, waardoor potentiële denial-of-service-aanvallen en onvoorspelbaar gedrag worden voorkomen.
Monitor uw libp2p-knooppunten op onverwachte panics en beperk de blootstelling aan onbetrouwbare netwerken als tijdelijke maatregel.
Als u een versie van libp2p gebruikt die vóór 0.49.4 is uitgebracht, is uw systeem kwetsbaar. Controleer de geïnstalleerde versie met cargo version of een vergelijkbare opdracht.
Raadpleeg de Rust libp2p-website of vulnerability-databases zoals CVE voor informatie over andere bekende kwetsbaarheden.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je Cargo.lock-bestand en we vertellen je direct of je getroffen bent.