CVE-2026-52879 in klever-go
요약
\~에 의해 VulDB • 2026. 08. 08.
Klever-Go는 Klever 블록체인 프로토콜의 Go 구현체입니다. 버전 1.7.14부터 1.7.17까지에서, 직접 메시지 수신 핸들러는 처리 계층 수준의 방탄(antiflood) 레이어가 어떤 승인 결정을 내리기 전에 들어오는 모든 직접 메시지에 대해 새 고루틴(goroutine)을 생성합니다. 이때 동시 실행 중인 고루틴 수에 대한 세마포어, 스로틀링(throttler), 또는 제한이 없습니다. 방탄 체크가 고루틴 생성 전이 아니라 생성된 고루틴 내부에서 실행되기 때문에, 단일 연결 피어가 직접 전송 스트림을 열고 잘 구성된 메시지 스트림을 보내 무제한적인 고루틴 생성을 유발할 수 있습니다. 각 고루틴은 자체 스택을 할당하고 처리가 완료될 때까지 메시지 참조를 유지하므로, 런타임이 이를 소모하는 속도보다 더 빠르게 스케줄러 및 가비지 컬렉션(GC)에 부하를 줍니다. 이로 인해 단일 피어가 노드의 사용 가능성(availability)과 정당한 트래픽 처리 능력을 저하시켜 원격에서 트리거 가능한 서비스 거부(Denial of Service, DoS)를 초래합니다. 이 문제는 1.7.18에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.