CVE-2026-25541：Fuel インフラストラクチャへの影響分析

アドバイザリ

影響を受けるリポジトリ

FuelLabs/fuel-block-committer は、脆弱性のある bytes 1.9.0（Cargo.lock 経由）を使用しています。

修正は 2026年4月14日 から PR #254 で利用可能ですが、未マージのままです（68日以上）。

技術的分析

脆弱性

BytesMut::reserve() には、unique reclaim パスに整数オーバーフローがあります：

// bytes/src/bytes_mut.rs (v1.9.0)
if v_capacity >= new_cap + offset  // ← unchecked addition: new_cap + offset can overflow

new_cap + offset が usize::MAX を超えてラップすると、この条件が誤って成立し、self.cap が実際の割り当てを超えて設定されます。その後の spare_capacity_mut() による書き込みは、メモリへの 境界外書き込み を引き起こします。

fuel-block-committer への影響

ブロックコミッターのステートコミッターサービスは、BytesMut バッファを使用して EigenDA ブロブフラグメントを処理します：

packages/services/src/state_committer/service.rs
  → submit_fragments()
  → fragment accumulation uses BytesMut for blob assembly

特定のフラグメントサイズを持つ細工された EigenDA レスポンスは、ブロブ再構築パスでオーバーフローを引き起こし、次の結果につながる可能性があります：

1. コミッタープロセス内の メモリ破壊
2. 潜在的な RCE：攻撃者が上書きされたデータを制御できる場合
3. 署名鍵の抽出：RCE が達成された場合（鍵はプロセスメモリまたは環境変数に存在）

影響を受けるコードパス

概念実証

オーバーフローを示す最小限の PoC：

use bytes::BytesMut;

fn main() {
    let mut a = BytesMut::from(&b"hello world"[..]);
    let mut b = a.split_off(5);
    drop(a);
    b.reserve(usize::MAX - 6);  // overflow: new_cap + offset wraps
    b.put_u8(b'h');             // OOB write
}

自動スキャン

デプロイメントが影響を受けているかどうかを確認するには、自動スキャナーを実行してください：

▶ 自動スキャンを実行

あなたの GitHub に接続し、Cargo.lock、デプロイメント設定、 およびランタイムの露出を分析します。結果は非公開の GitHub Issue として投稿されます。

スキャナーは以下をチェックします：

• 直接および推移的な bytes クレートの使用
• ネットワークに面したコードパスを介したランタイムの露出
• EigenDA フラグメントパスが到達可能かどうか
• デプロイメント設定（KMS 対 raw キーモード）

修復

1. 即時対応：PR #254 をマージする
2. 確認：cargo audit を実行し、他に脆弱性のある依存関係がないことを確認する
3. 監視：コミッターのログで異常なフラグメントサイズを確認する

タイムライン

開示

本分析は独立したセキュリティ研究の一環として実施されました。本番システムに対する悪用は試みられていません。責任ある開示は GitHub Issue を通じて行われます。

CVE Impact Analyzer v2.1 によって生成されました