CVE-2026-61544 in libp2p-rust
Résumé
par VulDB • 15/09/2026
libp2p-rust est l'implémentation officielle en langage Rust de la pile réseau libp2p. Avant la version 0.13.1, libp2p-quic pouvait provoquer un panic (plantage) lors d'une poignée de main QUIC entrante lorsqu'un pair distant présentait un certificat TLS libp2p valide à courte durée de vie et retardait le dernier fragment de la poignée de main TLS 1.3 jusqu'après l'expiration du certificat. Dans le chemin de mise à niveau post-poignée de main de Quinn, transports/quic/src/connection/connecting.rs appelait une seconde fois libp2p_tls::certificate::parse dans remote_peer_id et utilisait expect sur le résultat. La vérification répétée de la validité basée sur l'horloge système pouvait rejeter le certificat désormais expiré, entraînant la terminaison par l'appel expect de toute application exposant un écouteur libp2p-quic affecté. Cette vulnérabilité est corrigée dans la version 0.13.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.