Vulnerabilidad en gnark (CVE-2023-44378)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-191 Subdesbordamiento de entero

Fecha de publicación:

09/10/2023

Última modificación:

13/10/2023

Descripción

gnark es una librería zk-SNARK que ofrece una API de alto nivel para diseñar circuitos. Antes de la versión 0.9.0, para algunos valores en el circuito, era posible construir dos descomposición válida en bits. Además de la descomposición canónica de "a", para valores pequeños existe una segunda descomposición para "a+r" (donde "r" es el módulo por el que se reducen los valores). La segunda descomposición fue posible debido al desbordamiento del campo donde se definen los valores. La actualización a la versión 0.9.0 debería solucionar el problema sin necesidad de cambiar las llamadas a los métodos de comparación de valores.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno