PT-2024-27337 · Evmos · Evmos

Evmosdao + 1 · Publicado 2024-06-06 · Atualizado 2024-10-15 · CVE-2024-37153

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Evmos anteriores à V18.1.0

Descrição

O problema está relacionado ao liquid staking usando o Safe, que é um contrato. O bug ocorre quando há uma alteração no estado local juntamente com uma transferência ICS20 na mesma função, e ela utiliza o saldo do contrato. Trata-se essencialmente da “falha do dinheiro infinito”, que permite que os contratos dupliquem a oferta de Evmos após cada transação.

Recomendações

Para versões anteriores à V18.1.0, atualize para uma versão >=V18.1.0 para corrigir o problema. Como solução temporária, considere restringir o uso do saldo do contrato em transferências ICS20 para minimizar o risco de exploração. Evite usar o parâmetro sender com o endereço do contrato em transferências ICS20 que utilizem a pré-compilação ICS20 até que o problema seja resolvido.

Exploit

Correção

Enumeração de Fraquezas

CWE-670

Identificadores relacionados

CVE-2024-37153

GHSA-XGR7-JGQ3-MHMC

GO-2024-2903

Produtos afetados

Evmos

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37153.json · Exploit
• 🔥 https://github.com/evmos/evmos/security/advisories/GHSA-xgr7-jgq3-mhmc · Exploit
• https://github.com/evmos/evmos/commit/478b7a62e7af57a70cf3a01126c7f5a89bee69d7 · Correção
• https://github.com/evmos/evmos · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-37153 · Nota de Segurança
• https://t.me/cvenotify/98187 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2024-2903 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xgr7-jgq3-mhmc · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-37153 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1798795454467199333 · Publicação no Twitter
• https://pkg.go.dev/vuln/GO-2024-2903 · Nota