PT-2024-26393 · Unknown · Zksync Era

Hedgar2017 · Publicado 2024-05-27 · Atualizado 2024-05-28 · CVE-2024-35229

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do ZKsync Era anteriores à 1.3.10

Descrição

O ZKsync Era é um rollup de camada 2 que utiliza provas de conhecimento zero para escalar a Ethereum. Um bug na ordem de avaliação dos argumentos da função Yul é exposto por um padrão específico f(a(),b()); check if a executed last() no Yul. Este problema foi corrigido na versão 1.3.10.

Recomendações

Para versões anteriores à 1.3.10, atualize e reimplante os contratos afetados para resolver o problema. Como solução temporária, considere evitar o uso do padrão específico f(a(),b()); check if a executed last() no Yul até que a atualização seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-696

Identificadores relacionados

CVE-2024-35229

GHSA-JF9W-7F5G-J95P

Produtos afetados

Zksync Era

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/35xxx/CVE-2024-35229.json · Exploit
• https://github.com/matter-labs/era-compiler-solidity/commit/46ce047b51576495779b9f67534207d8154eab79 · Nota
• https://github.com/matter-labs/era-compiler-solidity/security/advisories/GHSA-jf9w-7f5g-j95p · Nota
• https://osv.dev/vulnerability/CVE-2024-35229 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-35229 · Nota de Segurança
• https://t.me/cvenotify/81089 · Publicação no Telegram