PT-2021-24413 · Unknown · Tendermint
Publicado
2021-12-20
·
Atualizado
2021-12-20
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
**Nome do software vulnerável e versões afetadas:
Versões do Tendermint 0.34.0 a 0.34.8
Descrição:
O problema está relacionado a um “ataque lunático direto” (FLA) que pode ser executado por um validador mal-intencionado com poder de voto superior a ⅓, permitindo que ele assine mensagens de commit para um estado arbitrário da aplicação associado a uma altura de bloco que ainda não foi vista. Isso pode levar à perda de fundos, já que o light client é responsável por verificar o estado entre cadeias para o IBC. No entanto, observa-se que os FLAs só são possíveis fora do modelo de segurança do Tendermint. Todos os FLAs deixam rastros de comportamento indevido comprovável na cadeia, e as redes poderiam usar o consenso social para se recuperar. Os patches introduzidos no Tendermint Core v0.34.9 tratam todas as evidências automaticamente e na cadeia.
Recomendações:
Para as versões 0.34.0 a 0.34.8 do Tendermint, atualize para o Tendermint Core v0.34.9 assim que possível.
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Tendermint