CVE-2025-59942

WysokieCVSS 7.5

Opublikowano: 29/09/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

go-f3 to implementacja Golang Fast Finality dla Filecoin (F3). W wersjach 0.8.6 i niższych, go-f3 ulega awarii (panic) podczas walidacji „trujących” wiadomości, co powoduje, że węzły Filecoin konsumujące wiadomości F3 stają się podatne. „Trująca” wiadomość może spowodować przepełnienie liczby całkowitej w walidacji indeksu podpisującego, co może doprowadzić do awarii całego węzła. Te złośliwe wiadomości nie są samo propagujące, ponieważ błąd znajduje się w walidatorze. Atakujący musi bezpośrednio wysłać wiadomość do wszystkich celów. Problem został naprawiony w wersji 0.8.7.

Ocena ryzyka

Atakujący może spowodować awarię węzłów Filecoin, co prowadzi do przerwania działania sieci lub usług zależnych od F3, a także może być wykorzystany do ataków DoS.

Rekomendacja

Zaleca się aktualizację go-f3 do wersji 0.8.7 lub nowszej, która zawiera poprawkę eliminującą problem przepełnienia liczby całkowitej.

Inne podatności w go-f3

CVE-2025-59941Średnie
go-f3 to implementacja Fast Finality dla Filecoin (F3) w języku Golang. W wersjach 0.8.8 i starszych mechanizm buforowania weryfikacji uzasadnień nie uwzględnia prawidłowo kontekstu wiadomości, co pozwala atakującemu obejść weryfikację uzasadnienia poprzez ponowne użycie zbuforowanego uzasadnienia w nieprawidłowym kontekście.

Oryginalny opis (angielski, źródło NVD)

go-f3 is a Golang implementation of Fast Finality for Filecoin (F3). In versions 0.8.6 and below, go-f3 panics when it validates a "poison" messages causing Filecoin nodes consuming F3 messages to become vulnerable. A "poison" message can can cause integer overflow in the signer index validation, which can cause the whole node to crash. These malicious messages aren't self-propagating since the bug is in the validator. An attacker needs to directly send the message to all targets. This issue is fixed in version 0.8.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS