PT-2025-18927 · Openvm · Openvm

CVE-2025-46723 · Publicado 2025-05-02 · Atualizado 2025-05-05

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas OpenVM versão 1.0.0

Descrição O problema está relacionado a uma vulnerabilidade de overflow na decomposição da instrução AUIPC do framework OpenVM. Um erro de digitação no código resulta em uma verificação de intervalo incorreta do limb mais significativo de pc, levando a uma situação em que um prover malicioso pode manipular o registrador de destino para assumir um valor diferente do pretendido. Isso é alcançado ao fazer com que a decomposição cause overflow no campo BabyBear.

Recomendações Para o OpenVM versão 1.0.0, atualize para a versão 1.1.0 para resolver o problema. Como solução temporária, considere restringir o uso da instrução AUIPC na versão afetada até que o patch seja aplicado.

Exploit

Correção

Enumeração de Fraquezas

CWE-131

Identificadores relacionados

BDU:2025-14814

CVE-2025-46723

GHSA-JF2R-X3J4-23M7

Produtos afetados

Openvm

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/46xxx/CVE-2025-46723.json · Exploit
• https://github.com/openvm-org/openvm/blob/0f94c8a3dfa7536c1231465d1bdee5fc607a5993/extensions/rv32im/circuit/src/auipc/core.rs#L135 · Nota
• https://github.com/openvm-org/openvm/releases/tag/v1.1.0 · Nota
• https://github.com/openvm-org/openvm/security/advisories/GHSA-jf2r-x3j4-23m7 · Nota
• https://github.com/openvm-org/openvm/commit/68da4b50c033da5603517064aa0a08e1bbf70a01 · Nota
• https://github.com/openvm-org/openvm · Nota
• https://twitter.com/VulmonFeeds/status/1918457116211192316 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1918672002266607646 · Publicação no Twitter
• https://t.me/cvetracker/22973 · Publicação no Telegram
• https://cantina.xyz/code/c486d600-bed0-4fc6-aed1-de759fd29fa2/findings/21 · Nota
• https://osv.dev/vulnerability/CVE-2025-46723 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1918568453650497789 · Publicação no Twitter
• https://t.me/cvedetector/24380 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-46723 · Nota de Segurança
• https://bdu.fstec.ru/vul/2025-14814 · Nota de Segurança