PT-2021-24374 · Vyper · Vyper
Publicado
2021-04-19
·
Atualizado
2021-04-19
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
**Nome do software vulnerável e versões afetadas:
Versões do Vyper anteriores à atualização para proxies de encaminhamento no estilo EIP-1167, conforme descrito no #2281
Descrição:
Foi relatado um problema de tratamento de dados em determinadas bibliotecas Web3 que utilizam contratos de proxy de encaminhamento do Vyper-deploy. Esse problema afeta usuários finais de proxies do tipo encaminhador implantados usando a função
create forwarder to integrada ao Vyper, nos quais uma função retorna mais de 4096 bytes e não é realizada nenhuma sanitização dos dados de retorno no valor retornado, o que pode levar à corrupção de dados. Além disso, se o resultado de uma chamada de retorno for processado e for esperado um RETURNDATASIZE específico menor que 4096, a chamada falhará nessa verificação.Recomendações:
Para versões anteriores à atualização para proxies de encaminhamento no estilo EIP-1167 em #2281, considere atualizar para a versão mais recente para resolver o problema. Como solução alternativa temporária, se for feita uma chamada a um método de contrato que se espera que retorne <= 4096 bytes, não deve ocorrer nenhum problema. No entanto, se estiver usando uma biblioteca Solidity que verifique
RETURNDATASIZE de uma chamada externa a um proxy de encaminhamento, modifique a biblioteca para realizar uma verificação de maior ou igual, em vez de uma verificação estrita de igual, para evitar falhas de asserção.RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Vyper