CVE-2026-61544 in libp2p-rust
摘要
由 VulDB • 2026-09-15
libp2p-rust 是 libp2p 网络栈的官方 Rust 语言实现。在 0.13.1 版本之前，当远程对等方提供一个有效期较短的有效 libp2p TLS 证书，并将最终的 TLS 1.3 握手片段延迟到该证书过期之后时，libp2p-quic 可能会发生 panic（程序崩溃）。在 Quinn 的后握手升级路径中，`transports/quic/src/connection/connecting.rs` 中的 `remote_peer_id` 函数第二次调用了 `libp2p_tls::certificate::parse`，并对结果使用了 `expect`。重复的基于系统时钟的有效性检查可能会拒绝现已过期的证书，导致 `expect` 调用终止任何暴露受影响 libp2p-quic 监听器的应用程序。此漏洞已在版本 0.13.1 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.