CVE-2021-39167
Açıklama
OpenZeppelin, akıllı sözleşme geliştirme için kullanılan bir kütüphanedir. Etkilenen sürümlerde, TimelockController bileşenindeki bir güvenlik açığı, executor rolüne sahip bir aktörün yetki yükseltmesine izin vermekteydi. Güvenlik açığına ilişkin daha fazla ayrıntı daha sonra açıklanacaktır. Geçici çözüm olarak, ekibin kesin kontrolü altında olmayan hesapların executor rolünü geri alın. Proposer olmayan tüm executor rollerinin geri alınmasını öneriyoruz. Bu hafifletme önlemini uygularken, en az bir proposer ve executor kaldığından emin olun.
Nasıl düzeltilir
- openzeppelin contracts3.4.2, 4.3.1 ya da sonraki bir sürüm
- @openzeppelin/contracts4.3.1, 3.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openzeppelin contracts | 3.3.0 ≤ v < 3.4.2, 4.0.0 ≤ v < 4.3.1 | 3.4.2, 4.3.1 |
| @openzeppelin/contractsnpm | 4.0.0 ≤ v < 4.3.1, 3.3.0 ≤ v < 3.4.2 | 4.3.1, 3.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.