CVE-2026-47249 in klever-go
Tóm tắt
Bởi VulDB • 08/08/2026
Klever-Go là bản triển khai giao thức blockchain Klever bằng ngôn ngữ Go. Trước phiên bản 1.7.18, logic xử lý yêu cầu giải quyết P2P (resolver) dễ bị tổn thương trước tấn công khuếch đại mảng băm (hash-array amplification). Một peer đã kết nối có thể gửi một yêu cầu trực tiếp RequestDataType_HashArrayType được nén với kích thước chỉ 442 byte trên đường truyền nhưng sẽ mở rộng thành 200.000 mục hash đã giải mã bên trong quá trình xử lý của resolver. Logic chống tràn (antiflood) của resolver chỉ đếm một thông điệp logic duy nhất và kích thước dữ liệu nén trên đường truyền; mặc dù Batch.Decompress() giới hạn kích thước byte sau khi giải nén, nó không bao giờ giới hạn số lượng các mục trường lặp lại đã được giải mã. Kết quả là cả TxResolver và TrieNodeResolver đều cấp phát trước và duyệt qua toàn bộ tập hợp hash chưa kiểm tra, gây ra hiện tượng khuếch đại tài nguyên bộ nhớ và CPU từ xa đối với bất kỳ node nào chấp nhận kết nối peer P2P. Vấn đề này đã được khắc phục trong phiên bản 1.7.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.