CVE-2024-22419
Təsvir
Vyper, Ethereum Virtual Maşını üçün Python tipli ağıllı kontrakt dilidir. Daxili `concat` funksiyası özü üçün ayrılmış yaddaş buferi sərhədlərini aşaraq mövcud etibarlı məlumatları yenidən yaza bilər. Problemin əsas səbəbi `concat` üçün olan `build_IR`-in kopyalama funksiyalarının (>=0.3.2 versiyaları üçün `copy_bytes` funksiyasının) API-na düzgün əməl etməməsidir. Kontraktlar üzrə axtarış aparılmış və istehsalat mühitində heç bir zəifliyi olan kontrakt tapılmamışdır. Bufer daşması kontraktın semantikasının dəyişməsinə səbəb ola bilər. Daşma uzunluqdan asılı olduğu üçün kontrakt sınaqları zamanı fərqinə varılmaya bilər. Lakin, `concat` istifadəsinin hər halda etibarlı məlumatların yenidən yazılması ilə nəticələnməyəcəyi qeyd olunur, çünki bunun baş verməsi üçün funksiyanın daxili olması və digər yaddaş ayırmaların baş vermədiyi geri qaytarma (`return`) ifadəsinə yaxın yerləşməsi tələb olunur. Bu problem 0.4.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- vyper0.4.0, 0.4.0b1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vyperlang vyper | v ≤ 0.3.10 | — |
| vyperPyPI | 0.3.0 ≤ v < 0.4.0, v < 0.4.0b1 | 0.4.0, 0.4.0b1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.