CVE-2026-52879 in klever-go
要約
〜によって VulDB • 2026年08月08日
Klever-Goは、KleverブロックチェーンプロトコルのGo言語による実装です。バージョン1.7.14から1.7.17において、ダイレクトメッセージの受信ハンドラは、プロセッサレベルのアンチフロッド層が承認判断を行う前に、着信するすべてのダイレクトメッセージに対して新しいgoroutineを生成します。この際、同時実行される生成処理の数に対するセマフォ、スロットル、または上限制限は一切設けられていません。アンチフロッドチェックは、生成されたgoroutine内ではなくその前で実行されるべきですが、実際には生成後のgoroutine内で実行されるため、単一の接続済みピアがダイレクト送信ストリームを開き、整形式のメッセージを連続して送信することで、無制限な数のgoroutine作成を強制することができます。各goroutineは独自のスタックを割り当て、処理完了までメッセージ参照を保持するため、スケジューラおよびガベージコレクションへの負荷がランタイムによる解消速度を上回り、システムリソースが枯渇します。これにより、1人のピアがノードの可用性および正当なトラフィックの処理能力を低下させ、リモートからトリガー可能なサービス拒否（DoS）を引き起こす可能性があります。この問題はバージョン1.7.18で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.