CVE-2023-39533
Açıklama
go-libp2p, libp2p Ağ Yığınının Go uygulamasıdır. 0.27.8, 0.28.2 ve 0.29.1 versiyonlarından önce, kötü niyetli bir eşya (peer), kaynak tüketimi saldırısı gerçekleştirmek ve bir düğümü büyük anahtarın imza doğrulamasını yapmaya zorlayarak zaman harcatmak için büyük RSA anahtarları kullanabilir. Bu güvenlik açığı, go-libp2p'nin core/crypto modülünde mevcuttur; Noise el sıkışması ve libp2p x509 uzantı doğrulama adımı sırasında ortaya çıkabilir. Bu saldırıyı önlemek için go-libp2p 0.27.8, 0.28.2 ve 0.29.1 versiyonları RSA anahtarlarını <= 8192 bit ile sınırlandırmaktadır. Uygulamanızı korumak için bu yama sürümlerine güncelleme yapmak ve 1.20.7 veya 1.19.12 sürümündeki güncellenmiş Go derleyicisini kullanmak gereklidir. Bu sorun için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- libp2p go-libp2p0.27.8, 0.28.2 ya da sonraki bir sürüm
- github.com/libp2p/go-libp2p0.27.8, 0.28.2, 0.29.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| libp2p go-libp2p | v < 0.27.8, 0.28.0 ≤ v < 0.28.2, 0.29.0 | 0.27.8, 0.28.2 |
| github.com/libp2p/go-libp2pGo | v < 0.27.8, 0.28.0 ≤ v < 0.28.2, 0.29.0 ≤ v < 0.29.1 | 0.27.8, 0.28.2, 0.29.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.