PT-2022-24009 · Unknown · Go-Ethereum

Cryptoisthekey · Publicado 2022-08-05 · Atualizado 2024-01-28 · CVE-2022-37450

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Go Ethereum (também conhecido como geth), versões 1.10.21 e anteriores

Descrição

A vulnerabilidade permite que invasores aumentem suas recompensas minerando blocos em determinadas situações e utilizando uma manipulação dos valores de diferença de tempo para substituir blocos da cadeia principal, um método também conhecido como Riskless Uncle Making (RUM). Este problema já foi explorado na prática.

Recomendações

Para as versões 1.10.21 e anteriores do Go Ethereum (também conhecido como geth), atualize para uma versão posterior à 1.10.21 para resolver o problema. Como solução alternativa temporária, considere restringir a capacidade de manipular valores de diferença de tempo para minimizar o risco de exploração.

Exploit

Correção

Identificadores relacionados

CVE-2022-37450

GHSA-RQMG-HRG4-FM69

Produtos afetados

Go-Ethereum

Referências · 10

• 🔥 https://github.com/ethereum/go-ethereum/blob/671094279e8d27f4b4c3c94bf8b636c26b473976/core/forkchoice.go#L91-L94 · Exploit
• 🔥 https://medium.com/@aviv.yaish/uncle-maker-time-stamping-out-the-competition-in-ethereum-d27c1cb62fef · Exploit
• https://github.com/ethereum/go-ethereum · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-37450 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-rqmg-hrg4-fm69 · Aviso do Fabricante
• http://dx.doi.org/10.13140/RG.2.2.27813.99043 · Nota
• https://osv.dev/vulnerability/CVE-2022-37450 · Aviso do Fabricante
• https://twitter.com/0xkidwai/status/1751759756828516551 · Publicação no Twitter
• https://medium.com/%40aviv.yaish/uncle-maker-time-stamping-out-the-competition-in-ethereum-d27c1cb62fef · Nota
• https://news.ycombinator.com/item?id=32354896 · Nota