CVE

Vulnerabilidad en un método ValidateBasic del módulo x/authz en Cosmos-SDK (CVE-2021-41135)

Severidad:

MEDIA

Type:

No Disponible / Otro tipo

Fecha de publicación:

20/10/2021

Última modificación:

07/11/2023

Descripción

Cosmos-SDK es un marco de trabajo para construir aplicaciones blockchain en Golang. Las versiones afectadas del SDK eran vulnerables a una interrupción del consenso debido a un comportamiento no determinista en un método ValidateBasic del módulo x/authz. El MsgGrant del módulo x/authz contiene un campo Grant que incluye un tiempo de expiración definido por el usuario para cuando la concesión de autorización expira. En Grant.ValidateBasic(), esa hora se compara con la hora del reloj local del nodo. Cualquier cadena que ejecute una versión afectada del SDK con el módulo authz habilitado podría ser detenida por cualquier persona con la capacidad de enviar transacciones en esa cadena. Una recuperación requeriría aplicar el parche y hacer retroceder el último bloque. Se recomienda usuarios actualizar a la versión 0.44.2

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

6.50

Severidad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:N/I:N/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:N/I:N/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Físico