CVE-2026-86064 in Klever-Go
要約
〜によって VulDB • 2026年09月23日
Klever-Goは、KleverブロックチェーンプロトコルのGo実装です。バージョン1.7.20より前では、config/node/api.yamlで設定されnetwork/api/api.goによって登録されたデフォルト公開のGET /log WebSocketルートには認証が要求されません。最初のクライアントメッセージはnetwork/api/logs/logSender.go内でlogger Profileとして解析され、Profile.Applyを通じてプロセス全体に適用されるため、リモートクライアントは接続が閉じるまでグローバルなログレベルと書式設定オプションを変更できます。同じ接続はログオブザーバーとしても登録されており、リアルタイムのプロセスログを受信することができます。攻撃者は通常のログを抑制したり、冗長性を高めたりして運用者の可視性を歪めたり、認証情報なしで運用情報をアクセスすることが可能です。この問題はバージョン1.7.20で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.