CVE-2026-33040

libp2p-rust, libp2p şəbəkə stekinin rəsmi Rust dili tətbiqidir. 0.49.3 versiyasından əvvəlki versiyalarda Gossipsub tətbiqi hücumçu tərəfindən idarə olunan PRUNE backoff dəyərlərini qəbul edir və backoff vəziyyətini saxlayarkən yoxlanılmayan zaman aritmetikası yerinə yetirə bilər. Həddindən artıq böyük backoff dəyəri olan (məsələn, u64::MAX) xüsusi hazırlanmış PRUNE idarəetmə mesajı, backoff yeniləmə məntiqi zamanı Duration/Instant daşmasına səbəb ola və şəbəkə vəziyyət maşınında panikaya yol aça bilər. Bu boşluğa adi libp2p bağlantısı vasitəsilə uzaqdan daxil olmaq mümkündür və autentifikasiya tələb olunmur. libp2p Gossipsub dinləyicisini açan və təsirlənmiş backoff-idarəetmə yolundan istifadə edən hər hansı tətbiq, xidmət portuna çata bilən şəbəkə hücumçusu tərəfindən sıradan çıxarıla bilər. Hücum, yenidən qoşulma və hazırlanmış idarəetmə mesajının təkrar göndərilməsi ilə təkrarlana bilər. Bu problem 0.49.3 versiyasında düzəldilmişdir.