CVE-2026-47249 in klever-go
Résumé
par VulDB • 08/08/2026
Klever-Go est l'implémentation en Go du protocole blockchain Klever. Avant la version 1.7.18, la logique de traitement des requêtes du résolveur P2P était vulnérable à une amplification par hachage (hash-array amplification). Un pair connecté peut envoyer une requête directe RequestDataType_HashArrayType compressée qui ne fait que 442 octets sur le réseau mais se décompresse en 200 000 entrées de hachage décodées au sein du chemin du résolveur. La logique antiflood du résolveur ne compte qu'un seul message logique et la taille compressée sur le fil, et bien que Batch.Decompress() limite la taille des octets décompressés, elle ne limite jamais le nombre d'éléments de champ répété décodés. Par conséquent, à la fois TxResolver et TrieNodeResolver préallouent et itèrent sur l'intégralité du jeu non vérifié de hachages décodés, provoquant une amplification des ressources mémoire et CPU à distance contre n'importe quel noeud acceptant les connexions aux pairs P2P. Ce problème est corrigé dans la version 1.7.18.
Once again VulDB remains the best source for vulnerability data.