CVE-2025-30147

Besu Native, Ethereum kliyenti Hyperledger Besu tərəfindən istifadə edilən yerli kitabxanaların qurulması və paketlənməsi üçün istifadə olunan skriptlər və alətləri ehtiva edir. Besu-nun 24.7.1-dən 25.2.2-dək olan versiyaları (besu-native-nin 0.9.0-dan 1.2.1-ə qədər olan versiyalarına uyğun gəlir) ALTBN128_ADD (0x06), ALTBN128_MUL (0x07) və ALTBN128_PAIRING (0x08) prekompilyasiyaları üçün potensial konsensus xətasına malikdir. Əvvəlki implementasiya artıq dəstəklənməyən və kifayət qədər performanslı olmayan kitabxanadan istifadə etdiyi üçün bu prekompilyasiyalar besu-native-də gnark-crypto-nun bn254 implementasiyası ilə yenidən yazılmışdır. Yeni gnark implementasiyası ilkin olaraq besu-native-nin 0.9.0 versiyasında əlavə edilmiş, lakin Besu 24.7.1-dəki 0.9.2 versiyasına qədər Besu tərəfindən istifadə edilməmişdir. Problem ondadır ki, düzgün altqrupda olan, lakin əyrinin üzərində olmayan xüsusi hazırlanmış EC nöqtələri mövcuddur və besu-native gnark implementasiyası nöqtənin əyri üzərində olduğunu yoxlamaq üçün altqrup yoxlamalarına etibar edirdi. Həmin vaxt istifadə olunan gnark-crypto versiyası altqrup yoxlamalarını yerinə yetirərkən bu yoxlamanı aparmırdı. Nəticə etibarı ilə, xüsusi hazırlanmış giriş nöqtəsi ilə bu prekompilyasiyalardan birini icra edərkən Besu-nun yanlış nəticə verməsi və konsensusa uyğunsuzluq yaranması mümkün idi. Bundan əlavə, yalnız Besu-dan ibarət homogen şəbəkələr potensial olaraq etibarsız vəziyyəti təsbit edə bilər ki, bu da həmin çağırışları düzgün emal edən yamalanmış Besu versiyaları ilə işləmək çətin və yanlış olar. Əsas qüsur besu-native 1.3.0 buraxılışında aradan qaldırılmışdır. Besu-nun düzəldilmiş versiyası 25.3.0-dur. Problemi olan Besu versiyaları üçün müvəqqəti həll yolu kimi, altbn128 üçün yerli prekompilyasiyanı deaktiv edib pure-java implementasiyasından istifadə etmək olar. Pure-java implementasiyası əhəmiyyətli dərəcədə daha yavaşdır, lakin bu konsensus problemi yoxdur.