PT-2024-24738 · Vyper · Vyper
Chen-Robert
·
Publicado
2024-04-25
·
Atualizado
2025-01-02
·
CVE-2024-32645
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões 0.3.10 e anteriores do Vyper
Descrição
O problema ocorre quando a função integrada
raw log é chamada com argumentos de memória ou armazenamento para serem usados como tópicos, resultando no registro de valores incorretos. Isso se deve ao fato de a função build IR da classe RawLog não conseguir desembrulhar corretamente as variáveis fornecidas como tópicos. Foi realizada uma pesquisa de contratos e não foram encontrados contratos vulneráveis em produção. O número estimado de dispositivos potencialmente afetados não está disponível. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.Recomendações
Para as versões 0.3.10 e anteriores do Vyper, atualize para uma versão que inclua a correção disponível em https://github.com/vyperlang/vyper/pull/3977.
Como solução alternativa temporária, considere evitar o uso da função integrada
raw log com argumentos de memória ou armazenamento até que um patch esteja disponível.Restrinja o acesso à função
build IR da classe RawLog para minimizar o risco de exploração.Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Vyper