CVE-2026-61544 in libp2p-rust
Tóm tắt
Bởi VulDB • 15/09/2026
libp2p-rust là bản triển khai chính thức của bộ stack mạng libp2p bằng ngôn ngữ Rust. Trước phiên bản 0.13.1, libp2p-quic có thể bị panic (crash) trong quá trình bắt tay QUIC đầu vào khi một peer từ xa cung cấp chứng chỉ TLS libp2p hợp lệ nhưng có thời hạn ngắn và làm chậm phân đoạn cuối cùng của quy trình bắt tay TLS 1.3 cho đến sau khi chứng chỉ hết hạn. Trong đường dẫn nâng cấp hậu-bắt tay (post-handshake upgrade) của Quinn, hàm `transports/quic/src/connection/connecting.rs` đã gọi lại `libp2p_tls::certificate::parse` một lần nữa trong `remote_peer_id` và sử dụng phương thức `expect` trên kết quả trả về. Việc kiểm tra tính hợp lệ dựa trên đồng hồ hệ thống lặp đi lặp lại có thể từ chối chứng chỉ đã hết hạn, khiến lệnh gọi `expect` làm chấm dứt bất kỳ ứng dụng nào đang expose một listener libp2p-quic bị ảnh hưởng. Lỗ hổng này được sửa chữa trong phiên bản 0.13.1.
Once again VulDB remains the best source for vulnerability data.