PT-2022-17218 · Unknown · Rigoblock Dragos

Rigoblock · Publicado 2022-02-18 · Atualizado 2023-08-08 · CVE-2022-25335

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

RigoBlock Dragos até 17/02/2022

Descrição

O problema está relacionado à ausência do modificador onlyOwner na função setMultipleAllowances, o que permite a manipulação de tokens. Essa vulnerabilidade foi explorada em ambiente real em fevereiro de 2022. É necessária uma atualização significativa do protocolo para corrigir o problema.

Recomendações

Para o RigoBlock Dragos até 17/02/2022, considere desativar a função setMultipleAllowances até que ocorra uma grande atualização do protocolo para impedir a manipulação de tokens.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2022-25335

Produtos afetados

Rigoblock Dragos

Referências · 9

• 🔥 https://raw.globalsecuritydatabase.org/GSD-2022-1000077 · Exploit
• 🔥 https://twitter.com/danielvf/status/1494317265835147272 · Exploit
• 🔥 https://twitter.com/RigoBlock/status/1494351180713050116 · Exploit
• https://etherscan.io/contractdiffchecker?a1=0x876b9ebd725d1fa0b879fcee12560a6453b51dc8 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-25335 · Nota de Segurança
• https://etherscan.io/tx/0x5a6c108d5a729be2011cd47590583a04444d4e7c85cd0427071b968edc3bfc1f · Nota
• https://t.me/cibsecurity/37722 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-25335 · Aviso do Fabricante
• https://t.me/cvenotify/27507 · Publicação no Telegram