Vulnerabilidad en Vyper (CVE-2025-21607)

Gravedad CVSS v4.0:

BAJA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/01/2025

Última modificación:

24/04/2025

Descripción

Vyper es un lenguaje de contratos inteligentes Pythonic para EVM. Cuando el compilador Vyper utiliza las precompilaciones EcRecover (0x1) e Identity (0x4), no se comprueba el indicador de éxito de la llamada. Como consecuencia, un atacante puede proporcionar una cantidad específica de gas para hacer que estas llamadas fallen, pero dejar que la ejecución general continúe. Entonces, el resultado de la ejecución puede ser incorrecto. Según las reglas de EVM, después de la precompilación fallida, el código restante solo tiene 1/64 del gas de prellamada restante (ya que se reenviaron y gastaron 63/64). Por lo tanto, solo las ejecuciones bastante simples pueden seguir a las llamadas de precompilación fallidas. Por lo tanto, no encontramos contratos del mundo real significativamente afectados. No obstante, se ha realizado un aviso por precaución. No hay acciones que los usuarios puedan tomar.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 2.30 BAJA
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

2.30

Gravedad 4.0

BAJA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno