CVE-2022-31172
Təsvir
OpenZeppelin Contracts ağıllı kontraktların hazırlanması üçün kitabxanadır. 4.1.0-dan 4.7.1-ə qədər olan versiyalarda SignatureChecker-in geri qaytarılmasına (reverting) səbəb olan zəiflik mövcuddur. `SignatureChecker.isValidSignatureNow` funksiyasının geri qaytarma (revert) etməsi gözlənilmir. Lakin, Solidity 0.8-in `abi.decode` funksiyası haqqında yanlış fərz, EIP-1271 standartını gözlənildiyi kimi tətbiq etməyən hədəf kontrakt olduqda bəzi halların geri qaytarılmasına yol açır. Təsirə məruz qala bilən kontraktlar, imzanın etibarlılığını yoxlamaq üçün `SignatureChecker`-dən istifadə edən və etibarsız imzaları geri qaytarmaqdan başqa üsulla emal edən kontraktlardır. Problem 4.7.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openzeppelin contracts4.7.1 və ya daha yeni versiya
- @openzeppelin/contracts4.7.1 və ya daha yeni versiya
- @openzeppelin/contracts-upgradeable4.7.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openzeppelin contracts | 4.1.0 ≤ v < 4.7.1 | 4.7.1 |
| @openzeppelin/contractsnpm | 4.1.0 ≤ v < 4.7.1 | 4.7.1 |
| @openzeppelin/contracts-upgradeablenpm | 4.1.0 ≤ v < 4.7.1 | 4.7.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.