PT-2021-16811 · Unknown · Cosmos Network Ethermint

Summerproo · Publicado 2021-02-08 · Atualizado 2021-02-12 · CVE-2021-25836

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Cosmos Network Ethermint versões <= 0.4.0

Descrição

O problema diz respeito a uma inconsistência no ciclo de vida do cache no módulo EVM. Especificamente, quando uma transação falha, o bytecode associado a ela permanece na memória, armazenado em stateObject.code, e é posteriormente gravado no armazenamento persistente durante a fase Endblock. Esse comportamento pode ser potencialmente explorado para criar contratos honeypot.

Recomendações

Para as versões do Cosmos Network Ethermint <= 0.4.0, considere atualizar para uma versão que corrija a inconsistência no ciclo de vida do cache no módulo EVM para evitar uma possível exploração. Como solução temporária, restrinja o uso do módulo EVM até que um patch esteja disponível.

Exploit

Correção

Identificadores relacionados

CVE-2021-25836

Produtos afetados

Cosmos Network Ethermint

Referências · 4

• 🔥 https://github.com/cosmos/ethermint/issues/667#issuecomment-759284303 · Exploit
• https://osv.dev/vulnerability/CVE-2021-25836 · Aviso do Fabricante
• https://t.me/cibsecurity/23229 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-25836 · Nota de Segurança