PT-2024-31389 · Gnark · Gnark

Maltezellic

·

Publicado

2024-09-06

·

Atualizado

2024-12-18

·

CVE-2024-45039

CVSS v3.1

6.2

Média

VetorAV:L/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Nome do software vulnerável e versões afetadas
Versões do gnark anteriores à 0.11.0
Descrição
A falha consiste em um problema de solidez na biblioteca gnark zk-SNARK. Quando vários compromissos são utilizados dentro de um circuito, o provador pode escolher todos os compromissos, exceto o último. Isso poderia afetar a solidez de todo o circuito, particularmente quando os compromissos são usados como desafios aleatórios para multiplicação não nativa otimizada, verificações de pesquisa, etc. No entanto, o uso de múltiplos compromissos tem sido desencorajado devido ao custo adicional para o verificador e não é suportado em certos verificadores. Espera-se que o impacto do problema seja pequeno, afetando apenas usuários que implementaram o verificador Groth16 nativo ou que o estejam usando com múltiplos compromissos.
Recomendações
Para resolver o problema, atualize para a versão 0.11.0 ou posterior.
Como solução alternativa temporária, considere usar apenas um único compromisso e derivar compromissos no circuito conforme necessário usando o pacote std/multicommit.

Exploit

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-45039
GHSA-Q3HW-3GM4-W5CR
GO-2024-3122
OPENSUSE-SU-2024:14599-1

Produtos afetados

Gnark