libp2p-rust: Gossipsub GRAFT topics unbounded growth
CVSS Skor
8.7
EPSS İhtimal
%0.3
Risk Skoru
0.0
Yayın
2 gün önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
libp2p‑rust’ın Gossipsub GRAFT kontrol mesajı, saldırgan tarafından gönderilen konu özetlerini doğrulamadan peer’in konular listesine ekler. Uzaktan kimlik doğrulaması yapılmamış bir saldırgan, dinleyiciye sürekli yeni GRAFT konuları göndererek her eş için bellek tüketimini sınırsız artırabilir ve hizmet reddine yol açar. Sorun 0.49.5 sürümünde düzeltilmiştir; yama durumu resmi kaynaklarda doğrulanamamıştır.
Bellek tüketiminin sınırsız artması, hizmetin çökmesine ve ağ üzerindeki diğer düğümlerin etkilenmesine neden olabilir.
Ne yapılmalı?
- libp2p‑rust sürümünü 0.49.5 ya da üzeri sürüme yükseltin (S0,S1)
- Resmi vendor advisory’sini izleyin ve yama notlarını takip edin (S0)
- GOSSIPSUB dinleyicilerine gelen GRAFT mesajlarını izleyin ve anormal artışları tespit edin
- Mümkünse dış ağdan gelen Gossipsub bağlantılarını kısıtlayın
Kanıt zinciri ve kaynaklar
CVE‑2026‑95859, kimlik doğrulaması yapılmamış bir uzaktan saldırganın GOSSIPSUB dinleyicisine sınırsız GRAFT konuları göndererek bellek tüketimini artırmasına izin verir (S0,S1).
Bu güvenlik açığı libp2p‑rust 0.49.5 sürümünde düzeltilmiştir (S0,S1).
CVE‑2026‑95859 CISA KEV listesinde yer almamaktadır; aktif istismar kanıtı bulunmamaktadır (S0).
Yama durumu resmi kaynaklarda doğrulanamadı; mevcut durum UNKNOWN olarak rapor edilmiştir (S0).
Kaynaklardaki teknik metni göster
libp2p-rust is the official Rust language implementation of the libp2p networking stack. Prior to 0.49.5, Gossipsub GRAFT control-message handling unconditionally adds attacker-supplied topic hashes to connected_peer.topics without confirming that the peer previously subscribed to those topics. A remote unauthenticated peer that can reach a Gossipsub listener can repeatedly send novel GRAFT topics, causing cumulative per-peer memory growth that is not bounded by subscription filters, peer scoring, or per-message size limits. This can exhaust process memory and cause a denial of service. This issue is fixed in version 0.49.5.
CVSS vektörü: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CWE: CWE-770
Açıklama yerel gemini-flash-lite-latest modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-95859 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | libp2p | rust-libp2p | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 8.7 | CVSS V4_0 | HIGH | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N | CVE CNA |
| 8.7 | CVSS V40 | HIGH | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | NVD |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-95859 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-95859 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-95859"