Vulnerabilidad en Tendermint (CVE-2022-23507)

Tendermint es un motor de consenso blockchain de alto rendimiento para aplicaciones Byzantine tolerantes a fallos. Las versiones anteriores a la 0.28.0 contienen un ataque potencial a través de Improper Verification of Cryptographic Signature, que afecta a cualquiera que utilice tendermint-light-client y paquetes relacionados para realizar la verificación del cliente ligero (por ejemplo, IBC-rs, Hermes). El cliente ligero no verifica que los ID de cadena de los encabezados confiables y no confiables coincidan, lo que genera un posible vector de ataque donde alguien que encuentre un encabezado de una cadena no confiable que satisfaga todas las demás condiciones de verificación (por ejemplo, suficientes firmas de validador superpuestas) podría engañar a un cliente ligero. Actualmente, el vector de ataque es teórico y aún no existe ninguna prueba de concepto para explotarlo en redes activas. Este problema está solucionado en la versión 0.28.0. No hay workaround.