PT-2025-20289 · Hyperledger · Besu-Native+1
Asanso
·
Publicado
2025-05-07
·
Atualizado
2025-05-13
·
CVE-2025-30147
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Hyperledger Besu de 24.7.1 a 25.2.2
Versões do besu-native de 0.9.0 a 1.2.1
Descrição
O problema refere-se a uma possível falha de consenso nos precompiles ALTBN128 ADD (0x06), ALTBN128 MUL (0x07) e ALTBN128 PAIRING (0x08), devido ao uso da implementação bn254 do gnark-crypto no besu-native. Esta implementação depende de verificações de subgrupo para realizar verificações de ponto na curva, mas a versão do gnark-crypto utilizada não realizava essa verificação ao executar verificações de subgrupo. Como resultado, é possível que o Besu produza um resultado incorreto e perca o consenso ao executar um desses precompiles com um ponto de entrada especialmente elaborado. Redes homogêneas exclusivamente Besu podem potencialmente persistir um estado inválido, o que seria incorreto e difícil de processar com versões corrigidas do Besu.
Recomendações
Para as versões do Hyperledger Besu de 24.7.1 a 25.2.2, considere desativar o precompile nativo para altbn128 em favor da implementação pura em Java como uma solução paliativa temporária.
Atualize para o Hyperledger Besu versão 25.3.0, que inclui o lançamento corrigido do besu-native 1.3.0.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hyperledger Besu
Besu-Native