CVE-2023-40583
Açıklama
libp2p, The IPFS Project'ten modüler hale getirilmiş bir ağ yığını ve kütüphanesidir ve diğer araçların kullanımı için ayrı olarak paketlenmiştir. go-libp2p'de, imzalı eş kayıtları kullanılarak kötü niyetli bir aktör, uzak bir düğümün belleğinde rastgele miktarda veri depolayabilir. Bu bellek çöp toplama (garbage collection) işlemine tabi tutulmaz ve bu nedenle mağdur sistemin belleği tükenebilir ve sistem çökebilir. Üretim ortamındaki go-libp2p kullanıcıları zaman içindeki bellek tüketimini izlemiyorsa, bu durum sessiz bir saldırı olabilir; yani saldırgan, düğümleri belirli bir süre içinde devre dışı bırakabilir (süresi düğüm kaynaklarına bağlıdır; örneğin, 4 GB belleğe sahip sanal bir sunucudaki go-libp2p düğümünü çökertmek yaklaşık 90 saniye sürer; daha büyük bir sunucuda bu süre biraz daha uzun olabilir). Bu sorun 0.27.4 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
- protocol libp2p0.27.4 ya da sonraki bir sürüm
- github.com/libp2p/go-libp2p0.27.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| protocol libp2p | v < 0.27.4 | 0.27.4 |
| github.com/libp2p/go-libp2pGo | v < 0.27.4 | 0.27.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.