PT-2024-30529 · Zkvyper · Zkvyper

Trocher · Publicado 2024-08-15 · Atualizado 2024-09-27 · CVE-2024-43366

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

zkvyper, versões 1.3.12 a 1.5.3

Descrição

O problema decorre da compilação de LLL IR em um loop com uma condição de saída tardia, o que pode levar à perda de fundos ou a comportamentos indesejados caso o corpo do loop contenha condições específicas. No entanto, casos de uso comuns, como a iteração sobre uma matriz, não são afetados. Não há relatos de contratos afetados por este problema.

Recomendações

Para as versões 1.3.12 a 1.5.3, atualize e reimplante os contratos afetados para evitar o problema.

No momento, não há informações sobre outras versões que possam exigir ações diferentes.

Exploit

Correção

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2024-43366

GHSA-8J77-7RRV-6PXX

Produtos afetados

Zkvyper

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43366.json · Exploit
• 🔥 https://github.com/matter-labs/era-compiler-vyper/security/advisories/GHSA-8j77-7rrv-6pxx · Exploit
• https://osv.dev/vulnerability/CVE-2024-43366 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-43366 · Nota de Segurança
• https://twitter.com/CVEnew/status/1824181626319827138 · Publicação no Twitter
• https://t.me/cvenotify/96399 · Publicação no Telegram
• https://t.me/cvedetector/3291 · Publicação no Telegram