libp2p rust-libp2p: Denial of Service durch unbegrenzte Gossipsub-GRAFT-Topics
Zusammenfassung
Die Gossipsub-Komponente von libp2p-rust akzeptiert GRAFT-Kontrollnachrichten für Topics, die ein Peer nie abonniert hat, und speichert diese pro Peer. Ein entfernter, nicht authentifizierter Peer, der einen Gossipsub-Listener erreichen kann, kann wiederholt neue Topic-Hashes senden, sodass der Speicherverbrauch unbegrenzt wächst und den Prozess erschöpfen kann. Subscription-Filter, Peer-Scoring und Begrenzungen der Nachrichtengrösse begrenzen dieses Wachstum nicht. Betroffen sind nur Anwendungen auf Basis von rust-libp2p mit einem Gossipsub-Listener, etwa P2P- oder Blockchain-Node-Software.
Betroffen
- rust-libp2p-Versionen vor 0.49.5 (betroffenes Crate: libp2p-gossipsub)
- Herstellerangabe laut CVE-Eintrag: rust-libp2p < 0.49.5
- Genaue Versionsbereiche pro Crate sind aus dem Advisory selbst nicht bestätigt.
Behoben in
- Auf rust-libp2p 0.49.5 oder neuer aktualisieren (libp2p-gossipsub 0.49.5).
- Fix-Commit: 51ed5f00e1b0620ded3444ecadf18477052148ea (PR #6608, Backport von GHSA-g3g5-x568-qvqx).
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Die Einschränkung, welche Peers Gossipsub-Listener erreichen können, auf Netzwerkebene reduziert die Exposition (eigene Empfehlung, nicht vom Hersteller).
Ausnutzung
- CVSS 4.0 Basisscore 8.7 (HOCH), Angriffsvektor Netzwerk, keine Berechtigungen und keine Benutzerinteraktion erforderlich.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Zum Zeitpunkt der Recherche sind keine bestätigte Ausnutzung und kein öffentlicher Proof of Concept bekannt.
- Laut einem Aggregator nicht im CISA-KEV-Katalog aufgeführt; direkt überprüfen.
Unsere Empfehlung
- Cargo.lock-Dateien auf libp2p-gossipsub und rust-libp2p-Versionen unter 0.49.5 prüfen (cargo audit und cargo deny erkennen diese Schwachstelle unter Umständen nicht).
- Betroffene Anwendungen auf 0.49.5 oder neuer aktualisieren und neu bauen.
- Gossipsub-Listener bis zur Aktualisierung auf Netzwerkebene auf vertrauenswürdige Peers beschränken.
- Speicherverbrauch betroffener Nodes auf ungewöhnliches Wachstum überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE commit 51ed5f0 (rust-libp2p) github.com
- Pull Request #6608 (backport) github.com
- GHSA-g3g5-x568-qvqx Security Advisory github.com
- OSV entry CVE-2026-95859 osv.dev
- Tenable CVE-2026-95859 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.