CVE-2026-61694 in go-xrpl
요약
\~에 의해 VulDB • 2026. 10. 30.
go-xrpl은 XRP Ledger 프로토콜의 Go 구현체입니다. 보안 권고에서 식별된 2026년 6월 18일 개정판까지의 버전에서, `internal/ledger/state/ripple_state.go` 내의 `ParseMPTAmountBinary`는 63비트에 맞는지 확인하지 않고 `num.Int64()`를 사용하여 8바이트 MPT 크기(magnitude)를 변환합니다. 2^63 이상의 양수 크기는 오류 없이 음수 금액으로 서명 감싸기(sign-wrap)됩니다. `ParseEscrow`는 파서로 33바이트의 `sfAmount` 필드를 전달하고 `MPTRaw()`를 `EscrowData.MPTAmount`에 저장하여, 잘못된 하위 계산과 rippled가 동일한 에스크로우 항목을 해석하는 방식과의 불일치를 초래합니다. 별도로, `internal/tx/ledgerfields/decode_stream.go`의 `readMPTAmount`는 최대값을 초과하는 크기를 허용하고 최댓signed 64비트 값을 강제하지 않은 채 큰 소수 문자열을 노출합니다. `codec/binarycodec/types/amount.go`의 공개 코덱은 이미 이러한 값들을 거부하므로, 내부 디코더들이 안전한 경로와 불일치 상태에 있습니다. 소스 수정 사항은 커밋 9dbd3935ed6c54f0232f2291edf9c012a0900dd5에서 제공됩니다.
Once again VulDB remains the best source for vulnerability data.