CVE-2026-35457：libp2p-rendezvous DoS漏洞，高危！

rust-libp2p 中的 CVE-2026-35457 影响 rendezvous 服务器，允许未经身份验证的攻击者触发无限内存增长。这是由于存储的页面 Cookie 缺乏限制或到期策略造成的。攻击者可以反复发送 DISCOVER 请求，强制持续创建新的 Cookie，从而耗尽服务器资源，导致服务器不稳定或拒绝服务。根据 CVSS 的评级，严重程度为 8.2，表明中等至高风险。页面 Cookie 存储缺乏限制对使用 libp2p 的网络的稳定性和可用性构成严重问题。

Applications and services that rely on libp2p-rendezvous for peer discovery and networking are at risk. This includes decentralized applications (dApps), peer-to-peer file sharing systems, and any software utilizing the libp2p networking stack. Specifically, systems with limited memory resources are more vulnerable to DoS attacks.

• rust / library: Monitor memory usage of libp2p-rendezvous processes. Look for rapidly increasing memory consumption, especially during periods of high network activity. • generic web: If libp2p-rendezvous is exposed via a web interface, monitor access logs for a high volume of DISCOVER requests originating from a single IP address.

# Example: Check for excessive DISCOVER requests in access logs
grep 'DISCOVER' access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 10

1. 2026-04-04Disclosure

   disclosure

1. 已保留2026-04-02
2. 发布日期2026-04-04
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-15

CVE-2026-35457 的主要缓解措施是升级到 rust-libp2p 的 0.17.1 版本或更高版本。此版本包含一个修复程序，该修复程序限制可以存储的页面 Cookie 的数量并到期旧的 Cookie。此外，建议监控服务器资源以检测异常的内存使用情况。如果无法立即升级，则临时解决方案是在给定时间范围内限制对等方可以发送的 DISCOVER 请求的数量，尽管这可能会影响对等方发现功能。为了防止潜在攻击，尽快应用更新至关重要。