CVE-2026-103936
Təsvir
libp2p şəbəkə stekinin JavaScript tətbiqidir. 6.0.28 versiyasından əvvəl, @libp2p/webrtc webRTCDirect() Node.js dinləyicisi PeerId autentifikasiyası, Noise, muksleme (muxing), protokol danışıqları, bağlantının yaradılması və ya connection-manager qəbulundan əvvəl autentifikasiya olunmamış STUN Binding Sorğularını emal edir. packages/transport-webrtc/src/private-to-public/utils/stun-listener.ts faylındakı dinləyici paket-idarəli request.ufrag-ı DirectRTCPeerConnection.setLocalDescription funksiyasına yönləndirir və burada həmin dəyər tələb olunan uzunluq və simvol dəsti yoxlanılmadan ICE şifrəsi kimi yenidən istifadə edilir. Qısa etibarlılıq məlumatı node-datachannel və ya libdatachannel kitabxanalarının tutulmamış native invalid_argument xətası verməsinə və prosesin SIGABRT ilə dayandırılmasına səbəb olur ki, bu da tək bir uzaq UDP paketinin xidmətdən imtinaya yol açmasına imkan verir. Təsdiqlənmiş təsir yalnız prosesin sonlandırılmasıdır; yaddaşın korlanması, kodun icrası, brauzerə təsir, konfidensiallığa təsir, bütövlüyə təsir və ya bağlantı limitinin yan keçilməsi nümayiş etdirilməmişdir. Bu problem 6.0.28 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @libp2p webrtc | < 6.0.28 | — |
| libp2p js-libp2p | < 3.3.7 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.