PT-2024-31389 · Gnark · Gnark
Maltezellic
·
Publicado
2024-09-06
·
Atualizado
2024-12-18
·
CVE-2024-45039
CVSS v3.1
6.2
Média
| Vetor | AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do gnark anteriores à 0.11.0
Descrição
A falha consiste em um problema de solidez na biblioteca gnark zk-SNARK. Quando vários compromissos são utilizados dentro de um circuito, o provador pode escolher todos os compromissos, exceto o último. Isso poderia afetar a solidez de todo o circuito, particularmente quando os compromissos são usados como desafios aleatórios para multiplicação não nativa otimizada, verificações de pesquisa, etc. No entanto, o uso de múltiplos compromissos tem sido desencorajado devido ao custo adicional para o verificador e não é suportado em certos verificadores. Espera-se que o impacto do problema seja pequeno, afetando apenas usuários que implementaram o verificador Groth16 nativo ou que o estejam usando com múltiplos compromissos.
Recomendações
Para resolver o problema, atualize para a versão 0.11.0 ou posterior.
Como solução alternativa temporária, considere usar apenas um único compromisso e derivar compromissos no circuito conforme necessário usando o pacote
std/multicommit.Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gnark