Nhà nghiên cứu công bố lỗ hổng zero-day nghiêm trọng CVSS 7.1 trong lớp đồng thuận Cosmos CometBFT

ATOM8,33%

Tin nhắn Gate News, ngày 22 tháng 4 — Nhà nghiên cứu an ninh Doyeon Park đã công bố một lỗ hổng zero-day nghiêm trọng CVSS 7.1 trong lớp đồng thuận CometBFT của Cosmos, có thể khiến các nút bị treo trong quá trình đồng bộ hóa khối, tiềm ẩn ảnh hưởng đến các mạng bảo vệ hơn $8 tỷ USD tài sản. Lỗ hổng này không thể trực tiếp đánh cắp tiền.

Park đã khởi động quy trình công bố phối hợp vào ngày 22 tháng 2 nhưng gặp phải sự phản kháng từ phía nhà cung cấp, đơn vị yêu cầu nộp vấn đề công khai trên GitHub trong khi từ chối công bố công khai. Vào ngày 4 tháng 3, HackerOne đánh dấu báo cáo thứ hai của anh ấy là spam. Vào ngày 6 tháng 3, nhà cung cấp tùy tiện hạ mức một lỗ hổng liên quan (CVE-2025-24371) xuống mức "mang tính thông tin", bác bỏ các tiêu chuẩn quốc tế. Park đã nộp một bản chứng minh khái niệm ở cấp mạng để phản biện quyết định này trước khi công bố công khai lỗi vào ngày 21 tháng 4.

Park khuyến nghị các trình xác thực Cosmos tránh khởi động lại các nút trước khi bản vá được phát hành. Các nút đã ở chế độ đồng thuận có thể tiếp tục vận hành, nhưng việc khởi động lại và bước vào quá trình đồng bộ có thể khiến chúng bị tấn công bởi các đối tượng ngang hàng độc hại, có khả năng gây bế tắc.

Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ các nguồn bên thứ ba và chỉ mang tính chất tham khảo. Thông tin này không phản ánh quan điểm hoặc ý kiến của Gate và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Giao dịch tài sản ảo tiềm ẩn rủi ro cao. Vui lòng không chỉ dựa vào thông tin trên trang này khi đưa ra quyết định. Để biết thêm chi tiết, vui lòng xem Tuyên bố miễn trừ trách nhiệm.
Bình luận
0/400
Không có bình luận