CVE-2025-57801
Açıklama
gnark bir sıfır bilgi kanıtı sistemi çerçevesidir. 0.14.0 öncesindeki sürümlerde, eddsa.go ve ecdsa.go dosyalarındaki Verify fonksiyonu, 0 ≤ S < order olduğunu doğrulamadan bir imzadaki S değerini kullanmış ve bu durum imza değiştirilebilirliği (signature malleability) zafiyetine yol açmıştır. gnark'ın yerel EdDSA ve ECDSA devreleri temel kısıtlamalardan yoksun olduğu için, birden fazla farklı tanık aynı genel girdileri karşılayabilmektedir. Nullifier'ların veya yeniden oynatma önleme kontrollerinin R ve S değerlerinden türetildiği protokollerde bu durum, imza değiştirilebilirliğine olanak tanır ve çift harcamaya (double spending) izin verebilir. Bu sorun 0.14.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- consensys gnark0.14.0 ya da sonraki bir sürüm
- github.com/consensys/gnark0.14.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| consensys gnark | v < 0.14.0 | 0.14.0 |
| github.com/consensys/gnarkGo | v < 0.14.0 | 0.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.