CVE-2025-52884

RISC Zero, Ethereum entegrasyonuna sahip sıfır bilgiyle doğrulanabilir genel bir hesaplama platformudur. risc0-ethereum deposu; Solidity doğrulayıcı kontratlarını, Steel EVM görünüm çağrısı kütüphanesini ve destekleyici kodları içerir. 2.1.1 ve 2.2.0 versiyonlarından önce, `Steel.validateCommitment` Solidity kütüphanesi fonksiyonu, özet değeri sıfır olan hazırlanmış bir taahhüt için `true` döndürür. Bu durum, mevcut zincirdeki bir bloğa taahhüt verilmediği için `validateCommitment` semantiğini ihlal eder. Özet sıfır olduğu için herhangi bir bloğa karşılık gelmez ve bilinen hiçbir açılışı yoktur. Sonuç olarak, bu taahhüt Steel kullanan doğru bir zkVM konuğu tarafından asla üretilmeyecektir ve Steel kullanan bir programın sağlamlığını bozmak için bu hatadan yararlanmak, durum açılış kanıtlarının kökünü doğrulamak için kullanılması beklenen Steel kütüphanesinin ayrı bir hatasını veya yanlış kullanımını gerektirecektir. Bir düzeltme, `risc0-ethereum` 2.1.1 ve 2.2.0'ın parçası olarak yayınlanmıştır. `Steel` Solidity kütüphanesinin 2.1.0 veya daha eski versiyonlarını kullanan kullanıcılar, ERC-20 karşıt örneğinde ve dokümantasyonda gösterildiği gibi, `Steel.validateCommitment` fonksiyonunu bir Steel programının zkVM kanıt doğrulamasıyla birlikte kullandıklarından emin olmalıdır. Bu, Steel'in doğru kullanımıdır; bu deseni takip eden kullanıcılar risk altında değildir ve herhangi bir işlem yapmalarına gerek yoktur. Bir Steel programının zkVM kanıtını doğrulamayan kullanıcılar, bu Steel'in yanlış kullanımı olduğundan, uygulamalarını bunu yapacak şekilde güncellemelidir.