PT-2024-24739 · Vyper · Vyper

Cyberthirst · Publicado 2024-04-25 · Atualizado 2025-01-02 · CVE-2024-32646

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 0.3.10 e anteriores do Vyper

Descrição

O uso da função embutida slice pode resultar em uma vulnerabilidade de dupla avaliação quando o argumento do buffer é msg.data, self.code ou <address>.code e os argumentos start ou length apresentam efeitos colaterais. O impacto é baixo, e não foram encontrados contratos de produção vulneráveis. A dupla avaliação de efeitos colaterais deve ser facilmente detectável em testes de cliente.

Recomendações

Como solução temporária, considere evitar o uso da função embutida slice com msg.data, self.code ou <address>.code como argumento de buffer, especialmente quando os argumentos start ou length tiverem efeitos colaterais, até que uma versão corrigida esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2024-32646

GHSA-R56X-J438-VW5M

PYSEC-2024-207

Produtos afetados

Vyper

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32646.json · Exploit
• https://github.com/vyperlang/vyper · Nota
• https://github.com/vyperlang/vyper/security/advisories/GHSA-r56x-j438-vw5m · Aviso do Fabricante
• https://github.com/vyperlang/vyper/pull/2914 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/vyper/PYSEC-2024-207.yaml · Nota
• https://osv.dev/vulnerability/CVE-2024-32646 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r56x-j438-vw5m · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-32646 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2024-207 · Aviso do Fabricante