Vulnerabilidad en klever-go de klever-io (CVE-2026-52879)

Klever-Go es la implementación en Go del protocolo blockchain de Klever. En las versiones 1.7.14 a la 1.7.17, el gestor de entrada de mensajes directos crea una nueva goroutine para cada mensaje directo entrante antes de que la capa antiflood a nivel de procesador tome cualquier decisión de admisión, sin semáforo, limitador o límite en el número de creaciones concurrentes en curso. Debido a que la verificación antiflood se ejecuta dentro de la goroutine creada en lugar de antes de ella, un único par conectado puede abrir un flujo de envío directo y enviar un flujo de mensajes bien formados para forzar la creación ilimitada de goroutines, donde cada goroutine asigna su propia pila y mantiene una referencia al mensaje hasta que el procesamiento se completa, añadiendo presión al planificador y a la recolección de basura más rápido de lo que el tiempo de ejecución puede drenarla. Esto permite que un par degrade la disponibilidad del nodo y su capacidad para procesar tráfico legítimo, resultando en una denegación de servicio que puede ser activada remotamente. El problema está solucionado en la 1.7.18.