CVE-2024-54134

Solana dapps tərəfindən geniş istifadə olunan bir JavaScript kitabxanası olan `@solana/web3.js` üçün nəşr giriş hesabı ələ keçirilib. Bu, hücumçuya modifikasiya edilmiş, icazəsiz və zərərli paketlər dərc etməyə imkan verib ki, bu da onların gizli açar məlumatlarını oğurlamasına və gizli açarları birbaşa idarə edən botlar kimi dapps-lərdən vəsaitləri boşaltmasına şərait yaradıb. Qeyri-kastodial pul kisələri əməliyyatlar zamanı adətən gizli açarları açıqlamadığı üçün bu problem onlara təsir etməməlidir. Bu, Solana protokolunun özü ilə bağlı yox, konkret bir JavaScript klient kitabxanası ilə bağlı problemdir və yalnız gizli açarları birbaşa idarə edən və 3 dekabr 2024-cü il çərşənbə günü UTC vaxtı ilə saat 15:20 və 20:25 arasındakı zaman kəsiyində yeniləmə aparan layihələrə təsir etdiyi görünür. İki icazəsiz versiya (1.95.6 və 1.95.7) bir neçə saat ərzində aşkar edilib və saytda dərc olunmaqdan çıxarılıb. Bütün Solana tətbiqi tərtibatçıları 1.95.8 versiyasına yüksəltmə etməlidirlər. Təhlükə altında olduqlarından şübhələnən tərtibatçılar multisig-lər, proqram səlahiyyətləri, server açar cütlükləri və s. daxil olmaqla bütün şübhəli səlahiyyət açarlarını dəyişməlidirlər.