CVE-2026-52878 in Klever-Go
要約
〜によって VulDB • 2026年08月08日
Klever-Goは、KleverブロックチェーンプロトコルのGo言語実装です。バージョン1.7.14から1.7.17までは、埋め込まれたRawDataサブメッセージが省略されたprotobuf Transactionによってnilポインタパニックが発生する脆弱性に影響を受けます。この省略により、RawDataはnilとしてデコードされます。Klever-GoのP2Pネットワーク上で伝播されるすべてのトランザクションは、libp2p pubsub topic-validatorコールバック内で同期的にデコードおよび検証され、その中でtxVersionChecker.CheckTxVersionがnilチェックなしでtx.RawData.Versionをデリファレンスします。libp2p pubsubコールバック、基盤となるgo-libp2p-pubsubの検証ワーカー、およびKlever独自のネットワーク/P2P層はいずれもrecover()を設置していないため、パニックは伝播しノードプロセス全体がクラッシュします。攻撃者のペイロードは3バイトのprotobufメッセージであり、バリデーターキー、ステーク、資金、またはオンチェーンアカウントは必要ありません。BLSバリデータセットの十分な数のターゲットに配信されるとブロック生成を停止させ、結果としてチェーンハルトを引き起こす可能性があります。この問題はバージョン1.7.18で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.