CVE-2022-23507
Təsvir
Tendermint, Vizantin səhvlərinə dözümlü tətbiqlər üçün yüksək performanslı blokçeyn konsensus mühərrikidir. 0.28.0 versiyasından əvvəlki versiyalarda Kriptoqrafik İmzanın Yanlış Yoxlanılması vasitəsilə potensial hücum mövcuddur ki, bu da light client yoxlamasını həyata keçirmək üçün tendermint-light-client və əlaqəli paketlərdən (məsələn, IBC-rs, Hermes) istifadə edən hər kəsə təsir edir. Light client etibarlı və etibarsız başlıqların (header) zəncir ID-lərinin (chain ID) uyğun olduğunu yoxlamır; bu isə digər bütün yoxlama şərtlərini (məsələn, kifayət qədər üst-üstə düşən validator imzalarını) ödəyən etibarsız zəncirdən bir başlıq tapan şəxsin light client-ı aldatması ilə nəticələnən mümkün hücum vektoruna yol açır. Hücum vektoru hazırda nəzəri xarakter daşıyır və canlı şəbəkələrdə onu istismar etmək üçün hələ heç bir konsept sübutu (proof-of-concept) mövcud deyil. Bu problem 0.28.0 versiyasında aradan qaldırılıb. Heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- tendermint-light-client_project tendermint-light-client0.28.0 və ya daha yeni versiya
- tendermint-light-client-js_project tendermint-light-client-js0.28.0 və ya daha yeni versiya
- tendermint-light-client-verifier_project tendermint-light-client-verifier0.28.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tendermint-light-client_project tendermint-light-client | v < 0.28.0 | 0.28.0 |
| tendermint-light-client-js_project tendermint-light-client-js | v < 0.28.0 | 0.28.0 |
| tendermint-light-client-verifier_project tendermint-light-client-verifier | v < 0.28.0 | 0.28.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.