PT-2024-9247 · Solana · @Solana/Web3.Js

Luscher · Publicado 2024-12-02 · Atualizado 2025-04-19 · CVE-2024-54134

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.3

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

@solana/web3.js, versões 1.95.6 a 1.95.7

Descrição:

Uma conta de acesso de publicação foi comprometida no @solana/web3.js, uma biblioteca JavaScript comumente usada por dapps da Solana. Isso permitiu que um invasor publicasse pacotes não autorizados e maliciosos, possibilitando-lhe roubar chaves privadas e drenar fundos de dapps que lidam diretamente com chaves privadas. O problema não afeta carteiras não custodiais, pois elas geralmente não expõem chaves privadas durante as transações. Trata-se de um problema com uma biblioteca cliente JavaScript específica, afetando projetos que lidam diretamente com chaves privadas e foram atualizados dentro de um intervalo de tempo específico.

Recomendações:

Para as versões 1.95.6 e 1.95.7, atualize para a versão 1.95.8.

Desenvolvedores que suspeitem que possam ter sido comprometidos devem trocar quaisquer chaves de autoridade suspeitas, incluindo multisigs, autoridades de programa, pares de chaves de servidor e assim por diante.

Exploit

Correção

Information Disclosure

RCE

Enumeração de Fraquezas

CWE-200

CWE-506

Identificadores relacionados

BDU:2024-10935

CVE-2024-54134

GHSA-JCXM-7WVP-G6P5

Produtos afetados

@Solana/Web3.Js

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/54xxx/CVE-2024-54134.json · Exploit
• https://github.com/solana-labs/solana-web3.js/security/advisories/GHSA-jcxm-7wvp-g6p5 · Nota
• https://github.com/solana-labs/solana-web3.js · Nota
• https://twitter.com/CveFindCom/status/1864332812578410958 · Publicação no Twitter
• https://xakep.ru/2024/12/05/solana-web3-js · Nota
• https://osv.dev/vulnerability/CVE-2024-54134 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-54134 · Nota de Segurança
• https://twitter.com/CVEnew/status/1864332285677334666 · Publicação no Twitter
• https://advisories.gitlab.com/pkg/npm/@solana/web3.js/CVE-2024-54134 · Nota
• https://bdu.fstec.ru/vul/2024-10935 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jcxm-7wvp-g6p5 · Aviso do Fabricante
• https://twitter.com/Eth1calHackrZ/status/1866052668596375657 · Publicação no Twitter
• https://github.com/advisories/GHSA-2mhj-xmf4-pr8m · Nota
• https://twitter.com/zbraiterman/status/1913612901434196183 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1864476123612037482 · Publicação no Twitter