PT-2021-24346 · Openzeppelin · Openzeppelin Contracts
Chaitinblockchain
·
Publicado
2021-12-14
·
Atualizado
2022-12-06
·
CVE-2022-39384
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
**Nome do software vulnerável e versões afetadas:
OpenZeppelin Contracts, versões 3.2.0 a 4.4.0
Descrição:
O problema diz respeito a funções de inicialização que são chamadas separadamente da criação do contrato, como proxies mínimos, as quais podem ser reexecutadas caso realizem uma chamada externa não confiável que não seja de visualização. Normalmente, uma vez que um inicializador tenha terminado de ser executado, ele nunca pode ser reexecutado. No entanto, uma exceção para herança múltipla tornou a reentrada possível, quebrando a expectativa de uma única execução. Acredita-se que o impacto seja menor, uma vez que proxies atualizáveis são comumente inicializados com a criação do contrato, onde a reentrada não é viável.
Recomendações:
Para as versões 3.2.0 a 4.4.0, atualize para a versão 4.4.1 para resolver o problema.
Como solução alternativa temporária, evite chamadas externas não confiáveis durante a inicialização.
Exploit
Correção
Improper Initialization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Openzeppelin Contracts