CVE-2026-61694 in go-xrpl
要約
〜によって VulDB • 2026年10月31日
go-xrplは、XRP LedgerプロトコルのGo実装です。アドバイザリで特定された2026年6月18日版までのバージョンにおいて、`internal/ledger/state/ripple_state.go`内の`ParseMPTAmountBinary`関数は、値が63ビットに収まるかどうかを確認せずに`num.Int64()`を使用して8バイトのMPT magnitude（絶対値）を変換します。2^63以上の正のmagnitudeはエラーなしで負の数としてラップされ、不正な金額となります。また、`ParseEscrow`関数は33バイトの`sFAmount`フィールドをパーサーに渡し、`MPTRaw()`の結果を`EscrowData.MPTAmount`に保存するため、後続の計算が正しく行われず、同じエスクローエントリーに対するrippledの実装との解釈に相違が生じます。独立して、`internal/tx/ledgerfields/decode_stream.go`内の`readMPTAmount`関数は上限を超えるmagnitudeを受け入れ、最大符号付き64ビット値を強制せずに大きな10進数文字列を返します。パブリックコーデックである`codec/binarycodec/types/amount.go`はこれらの値を拒否するため、内部デコーダーはその安全なパスと矛盾した状態になっています。この問題に対するソース修正は、コミット9dbd3935ed6c54f0232f2291edf9c012a0900dd5で利用可能です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.