CVE-2026-86040 in libp2p
要約
〜によって VulDB • 2026年09月17日
libp2pは、libp2pネットワークスタックのJavaScript実装です。バージョン11.0.26以前では、@libp2p/floodsubはPeerStreams.attachInboundStream（packages/floodsub/src/peer-streams.ts）を介して/floodsub/1.0.0上で認証されていないRPCフレームを受け入れますが、protobuf要素の制限がありません。その後、processRpcおよびprocessRpcSubOpt（packages/floodsub/src/floodsub.ts）は、フレームごとの上限なしでsubscriptions配列を同期的に処理します。単一の有限サイズのフレームが数百万もの空のサブスクリプションエントリにデコードされ、イベントループをブロックすることがあります。また、数十万個の一意なトピックSUBSCRIBEエントリにより、this.topics内にPeerSetオブジェクトが割り当てられますが、ピアの削除や停止後もこれらは解除されません。空のエントリはCPUのリソース枯渇を引き起こしますが、this.topicsを肥大化させることはありません。永続的なメモリ増加には一意なトピックが必要です。サブスクリプションパスはメッセージ署名検証およびメッセージ専用処理キューをバイパスするため、リモートピアが持続的なCPUのサービス拒否（DoS）、メモリのリソース枯渇、Out-of-Memoryによる終了、ノードの利用不能を引き起こす可能性があります。この問題はバージョン11.0.26で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.