CVE-2024-32644
Açıklama
Evmos, Ethereum ile tamamen uyumlu ve birlikte çalışabilen, ölçeklenebilir, yüksek veri throughput'una sahip bir Proof-of-Stake EVM blokzinciridir. 17.0.0 sürümünden önce, bir işlemin yürütülmesi sırasında iki farklı durumun senkronize olmama olasılığı nedeniyle rastgele token basmanın bir yolu bulunmaktadır. İstismar, Cosmos SDK durumu ile EVM durumunu senkronize etmek için `stateDB.Commit()` metoduna güvenilmesi gerçeğine dayanmaktadır. Bu metod çağrıldığında tüm `dirtyStorage` üzerinden geçilir ve **yalnızca ve ancak** `originStorage`dan farklıysa yeni durum ayarlanır. Yeni durumun ayarlanması, Cosmos SDK KVStore'unun güncellendiği anlamına gelir. Bir işlemden önce ve sonra aynı olan ancak işlem sırasında değişen ve bu değişiklikten sonra harici bir kontratı çağırabilen bir kontrat depolama durumu, işlemin atomik olmayan bir işleme benzer şekilde çalıştırılması için istismar edilebilir. Yaratıcı akıllı kontrat etkileşimleri aracılığıyla fonların boşaltılmasına yol açabileceği için bu güvenlik açığı **kritiktir**. Sorun >=V17.0.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- evmos evmos17.0.0 ya da sonraki bir sürüm
- github.com/evmos/evmos/v1617.0.0 ya da sonraki bir sürüm
- github.com/evmos/evmos/v1717.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| evmos evmos | v < 17.0.0 | 17.0.0 |
| github.com/evmos/evmos/v16Go | v < 17.0.0, Aralık belirtilmemiş | 17.0.0 |
| github.com/evmos/evmos/v7Go | v ≤ 7.0.0, Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v6Go | v ≤ 6.0.4, Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v5Go | v ≤ 5.0.0, Aralık belirtilmemiş | — |
| github.com/tharsis/evmosGo | v ≤ 1.1.3, Aralık belirtilmemiş | — |
| github.com/tharsis/evmos/v2Go | v ≤ 2.0.2, Aralık belirtilmemiş | — |
| github.com/tharsis/evmos/v3Go | v ≤ 3.0.3, Aralık belirtilmemiş | — |
| github.com/tharsis/evmos/v4Go | v ≤ 4.0.2, Aralık belirtilmemiş | — |
| github.com/tharsis/evmos/v5Go | v ≤ 5.0.1, Aralık belirtilmemiş | — |
| github.com/evmos/evmosGo | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v2Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v3Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v4Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v8Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v9Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v10Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v11Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v12Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v13Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v14Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v15Go | Aralık belirtilmemiş | — |
| github.com/evmos/evmos/v17Go | v < 17.0.0 | 17.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.