CVE-2026-52879 in klever-go
Zusammenfassung
von VulDB • 08.08.2026
Klever-Go ist die Go-Implementierung des Klever-Blockchain-Protokolls. In den Versionen 1.7.14 bis 1.7.17 erzeugt der Handler für eingehende Direktnachrichten (Direct-Messages) vor jeder Zulassungsentscheidung durch die antiflood-Schicht auf Prozessorebene einen neuen Goroutine, ohne dass ein Semaphore, Throttler oder eine Begrenzung für die Anzahl der gleichzeitig aktiven Erzeugnisse vorhanden ist. Da die Antiflood-Prüfung innerhalb des erzeugten Goroutines und nicht vor dessen Start ausgeführt wird, kann ein einzelner verbundener Peer einen Direct-Send-Stream öffnen und einen Strom von wohlgeformten Nachrichten senden, um eine unbegrenzte Erstellung von Goroutinen zu erzwingen. Jeder dieser Goroutines allokiert seinen eigenen Stack und behält eine Referenz auf die Nachricht, bis die Verarbeitung abgeschlossen ist, was den Scheduler- und Garbage-Collection-Overhead schneller erhöht, als die Laufzeit dies abfangen kann. Dies ermöglicht es einem einzelnen Peer, die Verfügbarkeit des Knotens sowie seine Fähigkeit zur Verarbeitung legitimen Datenverkehrs zu beeinträchtigen, was zu einer remote auslösbaren Denial-of-Service-Störung (DoS) führt. Das Problem wurde in Version 1.7.18 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.