„`html
Zusammenfassung
CVE-2026-40092 ist eine Denial-of-Service-Schwachstelle in nimiq-blockchain, die es böswilligen Netzwerk-Peers ermöglicht, vollständige Nimiq-Knoten zum Absturz zu bringen. Die Lücke entsteht durch eine fehlerhafte Signaturvalidierung in der Ed25519-Implementierung der TaggedPublicKey-Klasse, die bei ungültigen Signaturbytes zu einem Panic führt.
Betroffene Systeme
Betroffen sind alle Versionen von nimiq-blockchain bis einschließlich Version 1.3.0. Dies umfasst alle Nimiq-Vollknoten, die mit diesen Versionen der Persistent Block Storage Komponente betrieben werden. Version 1.4.0 und höher enthalten den Sicherheitsfix.
Technische Details
Die Schwachstelle liegt in der Verarbeitung von Kademlia DHT-Records. Ein Angreifer sendet einen manipulierten ValidatorRecord mit einer TaggedSigned-Struktur, deren Signaturfeld nicht exakt 64 Bytes lang ist. Wenn der Zielknoten die DHT-Verifikation durchführt, wird die TaggedSigned::verify()-Methode aufgerufen. Diese delegiert an die Ed25519PublicKey-Implementierung, die Ed25519Signature::from_bytes(sig).unwrap() aufruft. Die Funktion ed25519_zebra::Signature::try_from lehnt Byte-Slices ab, die nicht genau 64 Bytes entsprechen und wirft einen Fehler. Das anschließende unwrap() führt zu einem Panic und Knoten-Crash.
Im Gegensatz dazu behandelt die BLS-Implementierung dieser Validierung den Fehler korrekt durch Rückgabe von false statt Panic.
Empfohlene Massnahmen
Sofortmaßnahmen: Ein Upgrade auf Version 1.4.0 oder höher ist zwingend erforderlich. Benutzer sollten ihre Knoten priorisiert aktualisieren.
Monitoring: Überwachen Sie Ihre Knoten auf unerwartet Abstürze und DHT-Verarbeitungsfehler. Aktivieren Sie ausreichende Logging-Verbosität für DHT-Verifizierungsprozesse.
Netzwerk: Begrenzen Sie DHT-Verbindungen auf vertrauenswürdige Peers, falls möglich.
Bewertung
Die Schwachstelle erfordert unmittelbare Aufmerksamkeit. Mit einem CVSS-Score von 7.5 und der Möglichkeit, Knoten aus der Ferne zum Absturz zu bringen, stellt sie eine erhebliche Bedrohung für die Verfügbarkeit des Nimiq-Netzwerks dar. Das Upgrade auf Version 1.4.0 sollte ohne Verzögerung durchgeführt werden.
„`