Vulnerabilidad en libp2p (CVE-2023-40583)

libp2p es una pila de red y una biblioteca modularizada a partir del Proyecto IPFS, y empaquetada por separado para que otras herramientas puedan utilizarla. En go-libp2p, mediante el uso de registros de pares firmados, un actor malicioso puede almacenar una cantidad arbitraria de datos en la memoria de un nodo remoto. Esta memoria no se recoge de la basura, por lo que la víctima puede quedarse sin memoria y bloquearse. Si los usuarios de go-libp2p en producción no monitorizan el consumo de memoria a lo largo del tiempo, podría tratarse de un ataque silencioso, es decir, el atacante podría hacer caer nodos durante un periodo de tiempo (el tiempo depende de los recursos del nodo, es decir, un nodo go-libp2p en un servidor virtual con 4 gb de memoria tarda unos 90 segundos en caerse; en un servidor más grande, podría tardar un poco más). Este problema fue corregido en la versión 0.27.4.<br />