JVNDB-2026-033026

ZenhiveのMachine Payments Protocol (MPP)における制限またはスロットリング無しのリソースの割り当てに関する脆弱性

ZenHive mppにおけるリソースの制限や制御なしの割り当ては、認証されていないリモートクライアントが同時にスポンサー付き支払いを行うことで手数料支払者のウォレットを枯渇させ、ウォレットが空になると正当な支払者へのサービス拒否を引き起こす可能性があります。MPP.Methods.Tempo.FeePayerPolicyは、上限（max_gas、max_fee_per_gas、max_priority_fee_per_gas、最悪ケースのgas_limit * max_fee_per_gas ＜= max_total_feeの予算上限、および有効期間）を一度に1つのトランザクションに対して適用しますが、同時リクエスト間の影響を考慮していません。reserve_hash_atomic/2はトランザクションハッシュをキーとしているため、同一の署名済みトランザクションの重複送信を防ぎますが、異なる有効期限付きノンスを持つN個の異なるスポンサー付きトランザクションは禁止していません。したがって、確定したスポンサーの露出はN倍のmax_total_feeとなり、ライブラリ内で制限されておらず、デフォルトの900秒の有効期間により共同署名されたトランザクションはその期間中送信可能なままであり、カウントされません。この問題はmppのバージョン0.2.0から0.12.0未満に影響を及ぼします。

Zenhive

• Machine Payments Protocol (MPP) 0.2.0 以上 0.12.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-73541

GitHub

• GitHub : Tempo fee-payer sponsorship bounds each transaction individually but not aggregate exposure, allowing concurrent requests to drain the sponsor wallet  Advisory  ZenHive/mpp  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-73541 - OSV

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-73541

1. National Vulnerability Database (NVD) : CVE-2026-73541
2. 関連文書 : harness: agent delivery ― task 78 Add aggregate in-flight sponsor bud…  ZenHive/mpp@ddc4686  GitHub

• [2026年09月11日]
    掲載