CVE-2026-61544 in libp2p-rust
요약
\~에 의해 VulDB • 2026. 09. 16.
libp2p-rust는 libp2p 네트워킹 스택의 공식 Rust 언어 구현체입니다. 버전 0.13.1 이전, libp2p-quic은 원격 피어가 유효한 단기(libp2p TLS) 인증서를 제시하고 최종 TLS 1.3 핸드셰이크 분할 데이터를 인증서 만료 이후로 지연시킬 때 내부 입출력 QUIC 핸드셰이크 중 패닉(panic)이 발생할 수 있습니다. Quinn의 포스트-핸드셰이크 업그레이드 경로에서 transports/quic/src/connection/connecting.rs는 remote_peer_id 내에서 libp2p_tls::certificate::parse를 두 번째로 호출하고 그 결과에 대해 expect를 사용했습니다. 이로 인해 재차 수행된 실제 시간(wall-clock) 유효성 검사에서 이미 만료된 인증서가 거부되어, expect 호출이 영향을 받는 libp2p-quic 리스너를 노출하는 모든 애플리케이션을 종료시킬 수 있습니다. 이 취약점은 버전 0.13.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.