JVNDB-2026-010277

libp2pのlibp2p-gossipsubにおける複数の脆弱性

libp2p-rustはlibp2pネットワーキングスタックの公式なRust言語実装です。バージョン0.49.4以前のRust libp2p Gossipsub実装には、バックオフ期限処理においてリモートから到達可能なパニックが存在します。ピアが攻撃者によって制御されたほぼ最大のバックオフ値を持つ細工されたPRUNE制御メッセージを送信すると、その値が受け入れられ、表現可能な上限近くのInstantとして保存されます。後のハートビート時に、実装はチェックされていないInstant + Durationの算術（backoff_time + slack）を実行し、オーバーフローして「durationをinstantに加算する際のオーバーフロー」というパニックを引き起こす可能性があります。この問題は、通常のTCP + Noise + mplex/yamux接続を介して任意のGossipsubピアから到達可能であり、プロトコルピアになること以外に追加の認証を必要としません。この問題はバージョン0.49.4で修正されています。

libp2p

• libp2p-gossipsub 0.49.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Gossipsub PRUNE Backoff Heartbeat Instant Overflow  Advisory  libp2p/rust-libp2p  GitHub

1. 整数オーバーフローまたはラップアラウンド(CWE-190) [その他]
2. 到達可能なアサーション(CWE-617) [その他]

1. CVE-2026-34219

1. National Vulnerability Database (NVD) : CVE-2026-34219

• [2026年04月08日]
    掲載