CVE-2026-34064
Açıklama
nimiq-account, Nimiq'in Rust uygulamasında kullanılmak üzere hesap primitifleri içerir. Versiyon 1.3.0 öncesinde, `VestingContract::can_change_balance` fonksiyonu `new_balance < min_cap` olduğunda `AccountError::InsufficientFunds` döndürür, ancak hatayı `balance: self.balance - min_cap` kullanarak oluşturur. `Coin::sub` alt taşma (underflow) durumunda panikler; bu nedenle bir saldırgan `min_cap > balance` durumuna ulaşabilirse, düğüm hata döndürmeye çalışırken çöker. `min_cap > balance` ön koşulu saldırgan tarafından tetiklenebilir çünkü hak ediş sözleşmesi (vesting contract) oluşturma verileri (32 baytlık format), `total_amount <= transaction.value` (gerçek sözleşme bakiyesi) doğrulaması yapmadan `total_amount` değerinin kodlanmasına izin verir. Böyle bir hak ediş sözleşmesi oluşturduktan sonra saldırgan, mempool kabulü ve blok işleme sırasında paniği tetiklemek için giden bir işlem yayınlayabilir. Bu güvenlik açığına yönelik yama v1.3.0'ın bir parçası olarak eklenmiştir. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- nimiq nimiq_proof-of-stake1.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nimiq nimiq_proof-of-stake | v < 1.3.0 | 1.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.