CVE-2026-34219

Nome do Software Vulnerável e Versões Afetadas libp2p-rust versões anteriores a 0.49.4

Description A implementação em Rust da pilha de rede libp2p Gossipsub contém um pânico acessível remotamente no tratamento de expiração de backoff. Um invasor pode estabelecer uma sessão padrão usando TCP, Noise e um multiplexador de fluxo como mplex ou yamux para enviar uma mensagem de controle PRUNE manipulada. Ao fornecer um valor de backoff próximo ao máximo, o invasor faz com que o sistema armazene um Instant próximo ao seu limite superior representável. Durante um heartbeat subsequente, a implementação executa aritmética não verificada (backoff time + slack), resultando em um overflow e um pânico com a mensagem: overflow when adding duration to instant. Isso permite que qualquer peer do protocolo não autenticado provoque a negação de serviço remota, derrubando o nó alvo. Este problema foi identificado pela equipe de segurança da Ethereum Foundation utilizando agentes de IA.

Recommendations Atualize o libp2p-rust para a versão 0.49.4 ou posterior.