PT-2022-23022 · Openzeppelin · Openzeppelin Contracts

Lowfrangio · Publicado 2022-08-01 · Atualizado 2022-12-06 · CVE-2022-35916

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do OpenZeppelin Contracts anteriores à 4.7.2

Descrição

O problema afeta contratos que utilizam os utilitários de interconexão de cadeias para Arbitrum L2, especificamente CrossChainEnabledArbitrumL2 ou LibArbitrumL2. Esses contratos classificam interações diretas de contas de propriedade externa (EOAs) como chamadas entre cadeias, mesmo que elas não sejam iniciadas na L1. A gravidade desse problema é avaliada como baixa, pois qualquer ação realizada por uma EOA no contrato também poderia ser realizada pela EOA por meio da ponte se o problema não estivesse presente.

Recomendações

Para versões anteriores à 4.7.2, atualize para a versão 4.7.2 para resolver o problema. Como solução alternativa temporária, considere restringir o uso de CrossChainEnabledArbitrumL2 e LibArbitrumL2 até que a atualização seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-669

Identificadores relacionados

CVE-2022-35916

GHSA-9J3M-G383-29QR

Produtos afetados

Openzeppelin Contracts

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/35xxx/CVE-2022-35916.json · Exploit
• https://github.com/OpenZeppelin/openzeppelin-contracts · Nota
• https://github.com/OpenZeppelin/openzeppelin-contracts/pull/3578 · Correção
• https://github.com/OpenZeppelin/openzeppelin-contracts/security/advisories/GHSA-9j3m-g383-29qr · Nota
• https://github.com/OpenZeppelin/openzeppelin-contracts/releases/tag/v4.7.2 · Nota
• https://osv.dev/vulnerability/CVE-2022-35916 · Aviso do Fabricante
• https://t.me/cibsecurity/47389 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-35916 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9j3m-g383-29qr · Aviso do Fabricante