PT-2022-23149 · Elrond · Elrond-Go

Iulianpascalau · Publicado 2022-09-01 · Atualizado 2024-08-21 · CVE-2022-36058

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do elrond-go anteriores à 1.3.34

Descrição

O problema afeta o elrond-go, a implementação em Go do protocolo da Rede Elrond. Nas versões afetadas, o processamento de blocos que contenham uma transação MultiESDTNFTTransfer com um nome de função ausente pode causar problemas. Funcionalidades básicas como mensagens P2P, armazenamento e solicitações de API não são afetadas.

Recomendações

Para versões anteriores à 1.3.34, atualize para a versão 1.3.34 ou superior para resolver o problema.

Como solução alternativa temporária, considere evitar o processamento de blocos que contenham transações MultiESDTNFTTransfer com nomes de função ausentes até que um patch seja aplicado.

Não há outras soluções alternativas disponíveis.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2022-36058

GHSA-QF7J-25G9-R63F

GO-2022-0970

Produtos afetados

Elrond-Go

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36058.json · Exploit
• 🔥 https://github.com/ElrondNetwork/elrond-go/security/advisories/GHSA-qf7j-25g9-r63f · Exploit
• https://github.com/ElrondNetwork/elrond-go/commit/cb487fd7be2a2077638eb34ae771a73630c870c7 · Correção
• https://github.com/ElrondNetwork/elrond-go · Nota
• https://github.com/ElrondNetwork/elrond-go/blob/8e402fa6d7e91e779980122d3798b2bf50892945/integrationTests/vm/txsFee/asyncESDT_test.go#L402 · Nota
• https://osv.dev/vulnerability/GHSA-qf7j-25g9-r63f · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0970 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-36058 · Nota de Segurança
• https://t.me/cibsecurity/49385 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-36058 · Aviso do Fabricante