CVE-2022-23487
Açıklama
js-libp2p, libp2p ağ yığınının resmi JavaScript uygulamasıdır. js-libp2p'nin `v0.38.0` sürümünden eski sürümleri, hedefli kaynak tüketimi saldırılarına karşı savunmasızdır. Bu saldırılar libp2p'nin bağlantı, akış, eş ve bellek yönetimini hedef alır. Bir saldırgan büyük miktarda bellek tahsisine neden olabilir ve bu da sonunda sürecin ana bilgisayarın işletim sistemi tarafından sonlandırılmasına yol açar. Bağlantı sayısını yönetilebilir sınırlar içinde tutmakla görevli bir bağlantı yöneticisi js-libp2p'nin bir parçası olsa da, bu bileşen hedefli bir kaynak tüketimi saldırısını değil, eşlerin olağan değişimini ele almak üzere tasarlanmıştır. Kullanıcıların js-libp2p bağımlılıklarını `v0.38.0` veya daha yüksek bir sürüme güncellemeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- protocol libp2p0.38.0 ya da sonraki bir sürüm
- libp2p0.38.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| protocol libp2p | v < 0.38.0 | 0.38.0 |
| libp2pnpm | v < 0.38.0 | 0.38.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.