CVE-2026-40092
Publiée le 2026-05-20 · Dernière modification le 2026-07-23
Les nœuds complets Nimiq utilisant la version 1.3.0 ou une version antérieure sont vulnérables à une attaque par déni de service. Un attaquant distant peut faire planter votre nœud simplement en envoyant un enregistrement DHT spécialement conçu via le réseau. Cela ne nécessite aucune authentification ni interaction de l'utilisateur, ce qui rend l'exécution triviale pour tout pair malveillant sur le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
nimiq-blockchain provides persistent block storage for Nimiq's Rust implementation. In versions 1.3.0 and below, a malicious network peer can crash any Nimiq full node by publishing a crafted Kademlia DHT record. The maliciously crafted record would contain a TaggedSigned<ValidatorRecord, KeyPair> with a signature field whose byte length is not exactly 64 in order to cause a crash. When the victim node's DHT verifier calls TaggedSigned::verify, execution reaches Ed25519Signature::from_bytes(sig).unwrap() in the TaggedPublicKey implementation for Ed25519PublicKey. The from_bytes call fails because ed25519_zebra::Signature::try_from rejects slices not 64 bytes, and the unwrap() panics. The BLS TaggedPublicKey implementation correctly returns false on error; only the Ed25519 implementation panics. This issue has been fixed in version 1.4.0.