CVE-2021-48020

W kompilatorze Vyper w wersjach 0.3.4 do 0.5.0b1 funkcja create_from_blueprint oblicza pozostały rozmiar blueprintu przez odejmowanie uint256 bez sprawdzenia, czy code_offset jest mniejszy od rozmiaru kodu. Duży offset może zawinąć się do małej wartości dodatniej.

W kompilatorze Vyper w wersjach 0.3.8 do 0.5.0b1 występuje błąd optymalizatora, w którym wyrażenie (msg.value | K) lub (len(msg.data) | K) dla niezerowego K jest kompilowane do stałej 1 w gałęzi wyrażenia trójargumentowego przy -O gas lub -O codesize. Kontrakty używają błędnej wartości bez ostrzeżenia.

W kompilatorze Vyper w wersjach 0.1.0b1 przed 0.1.0b17 oraz 0.4.1 do 0.5.0b1 tabela linii źródłowych jest budowana za pomocą str.splitlines(), która traktuje znaki takie jak form feed i U+2028 jako podziały linii ignorowane przez parser Pythona. Powoduje to błędną klasyfikację literałów numerycznych.

Kompilator Vyper w wersjach 0.3.8 do 0.5.0b1 zawiera błąd błędnej kompilacji w parse_IfExp, który odczytuje zagnieżdżone tablice o węższych granicach wewnętrznych przy użyciu układu pamięci szerszego typu wyniku. Gdy wyrażenie trójargumentowe wybiera węższą tablicę, wewnętrzne tablice po pierwszej są odczytywane z błędnych przesunięć, powodując ciche zapisywanie uszkodzonych wartości lub wycofanie transakcji w kontraktach.

W kompilatorze Vyper w wersjach 0.1.0b1 przed 0.1.0b12, 0.1.0b14 oraz 0.4.1 do 0.5.0b1 w pliku vyper/ast/parse.py mieszane są przesunięcia linii oparte na znakach z bajtami UTF-8 col_offset Pythona. Znaki wielobajtowe przesuwają wycinki źródła używane do rekonstrukcji późniejszych literałów numerycznych.

Vyper w wersji przed 0.2.9 wdraża proxy forwarderów przez wbudowaną funkcję create_forwarder_to, która zgłasza stały rozmiar RETURNDATASIZE wynoszący 4096 bajtów zamiast rzeczywistego rozmiaru zwracanych danych. Wywołania przez te proxy mogą zwracać uszkodzone dane, gdy funkcja zwraca więcej niż 4096 bajtów bez sanityzacji danych zwrotnych, i powodują niepowodzenie ścisłych kontroli rozmiaru zwrotu, takich jak SafeERC20.safeTransfer.

Vyper od wersji 0.2.13 przed 0.2.15 przydziela sloty pamięci dla blokad reentrancyjnych @nonreentrant w tych samych lokalizacjach co zmienne przechowywania kontraktu. Gdy wywoływana jest funkcja używająca @nonreentrant, ustawienie blokady nadpisuje nakładającą się zmienną przechowywania, uszkadzając stan kontraktu i łamiąc zamierzoną logikę kontraktu.

Vyper przed wersją 0.3.1 nie posiada typu uint8, co pozwala na przechowywanie wartości zwracanych przez interfejsy zadeklarowane jako uint8, takie jak ERC20.decimals(), w zmiennych uint256 bez sprawdzania granic. Złośliwe kontrakty mogą zwracać wartości większe niż 255, aby manipulować lub obejść logikę kontraktu opierającą się na tych wartościach.

Kompilator Vyper w wersjach od 0.1.0b10 do 0.2.3 generuje niepoprawny kod dla instrukcji return wewnątrz pętli for w funkcji wewnętrznej wywoływanej co najmniej dwa poziomy wywołań w głąb, co prowadzi do nieprawidłowego celu skoku (stack underflow). Dotknięte kontrakty niepotrzebnie odrzucają takie wywołania, co w ograniczonych przypadkach może umożliwić atak odmowy usługi na publiczne kontrakty.

Vyper w wersji przed 0.2.6 zawiera podatność na uszkodzenie stosu wywołań, która powoduje nieprawidłowe wyniki funkcji, gdy złożone typy z elementami niebazowymi są przekazywane jako argumenty. Kontrakty przekazujące wielowymiarowe tablice lub struktury do funkcji wewnętrznych lub zewnętrznych otrzymują uszkodzone wartości, ponieważ kompilator zakładał, że rozmiar każdego podtypu wynosi 32.