CVE-2025-52884

RISC Zero, Ethereum inteqrasiyasına malik sıfır-bilikli yoxlanıla bilən ümumi hesablama platformasıdır. risc0-ethereum repozitoriyası Solidity verifikator müqavilələrini, Steel EVM view call kitabxanasını və dəstəkləyici kodu ehtiva edir. Versiyalar 2.1.1 və 2.2.0-dan əvvəl, `Steel.validateCommitment` Solidity kitabxana funksiyası, dayest (digest) dəyəri sıfır olan xüsusi hazırlanmış öhdəlik (commitment) üçün `true` qaytaracaqdır. Bu, `validateCommitment` semantikasını pozur, çünki bu, cari zəncirdə olan blok üçün öhdəlik yaratmır. Dàyest sıfır olduğu üçün o, heç bir bloka uyğun gəlmir və məlum açılışlar mövcud deyil. Nəticədə, bu öhdəlik Steel istifadə edən düzgün zkVM qonağı tərəfindən heç vaxt istehsal edilməyəcək və Steel istifadə edən proqramın dürüstlüyünü sarsıtmaq üçün bu xətadan yararlanmaq ayrıca bir xəta və ya Steel kitabxanasının yanlış istifadəsini tələb edəcəkdir ki, bu kitabxananın vəziyyət açılış sübutlarının kökünü yoxlamaq üçün istifadə olunacağı gözlənilir. Həll yolu `risc0-ethereum` 2.1.1 və 2.2.0 versiyalarının tərkibində təqdim edilmişdir. `Steel` Solidity kitabxanasının 2.1.0 və ya daha erkən versiyalarını istifadə edən istifadəçilər, ERC-20 qarşı nümunəsində və sənədlərdə göstərildiyi kimi, `Steel.validateCommitment` funksiyasından Steel proqramının zkVM sübutunun verifikasiyası ilə birlikdə istifadə etdiklərinə əmin olmalıdırlar. Bu, Steel-in düzgün istifadə formasıdır və bu modelə əməl edən istifadəçilər risk altında deyillər və hər hansı bir tədbir görmələrinə ehtiyac yoxdur. Steel proqramının zkVM sübutunu yoxlamayan istifadəçilər, bu Steel-in yanlış istifadəsi olduğundan, tətbiqlərini bunu edəcək şəkildə yeniləməlidirlər.