NimiqのNimiq Proof of Stake (core-rs-albatross)における入力で指定された数量の不適切な検証に関する脆弱性
タイトル NimiqのNimiq Proof of Stake (core-rs-albatross)における入力で指定された数量の不適切な検証に関する脆弱性
概要

nimiq-blockchainはNimiqのRust実装における永続的なブロックストレージを提供します。バージョン1.3.0およびそれ以前のバージョンでは、ブロックのタイムスタンプ検証はスキップしないブロックに対してtimestamp = parent.timestampを、スキップブロックに対してtimestamp == parent.timestamp + MIN_PRODUCER_TIMEOUTを強制しますが、実時間に対する明確な上限チェックが存在しません。悪意のあるブロック生成バリデータは、ブロックのタイムスタンプを任意に未来に設定することが可能です。これにより、blockchain/src/reward.rsのPolicy::supply_at()およびbatch_delay()を介した報酬計算に直接影響し、意図された発行スケジュールを超えて通貨供給量が膨れ上がる恐れがあります。

想定される影響 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
対策

参考情報を参照して適切な対策を実施してください。

公表日 2026年4月9日0:00
登録日 2026年4月27日11:17
最終更新日 2026年4月27日11:17
CVSS3.0 : 重要
スコア 8.1
ベクター CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
影響を受けるシステム
Nimiq
Nimiq Proof of Stake (core-rs-albatross) 1.3.0 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
変更履歴
No 変更内容 変更日
1 [2026年04月27日]
  掲載
2026年4月27日11:17

NVD脆弱性情報
CVE-2026-40093
概要

nimiq-blockchain provides persistent block storage for Nimiq's Rust implementation. In 1.3.0 and earlier, block timestamp validation enforces that timestamp >= parent.timestamp for non-skip blocks and timestamp == parent.timestamp + MIN_PRODUCER_TIMEOUT for skip blocks, but there is no visible upper bound check against the wall clock. A malicious block-producing validator can set block timestamps arbitrarily far in the future. This directly affects reward calculations via Policy::supply_at() and batch_delay() in blockchain/src/reward.rs, inflating the monetary supply beyond the intended emission schedule.

公表日 2026年4月10日6:16
登録日 2026年4月15日11:35
最終更新日 2026年4月25日2:11
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:nimiq:nimiq_proof-of-stake:*:*:*:*:*:rust:*:* 1.3.0
関連情報、対策とツール
共通脆弱性一覧