CVE-2023-34234
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Biblioteka OpenZeppelin Contracts do rozwoju inteligentnych kontraktów ma podatność, która pozwala atakującemu na przejęcie roli proponującego poprzez frontrunning tworzenia propozycji. Atakujący może wielokrotnie próbować uniemożliwić zaproponowanie danej propozycji.
Ocena ryzyka
Organizacja może być narażona na manipulacje w procesie podejmowania decyzji, co może prowadzić do nieefektywnego zarządzania i strat finansowych.
Rekomendacja
Zaleca się aktualizację do wersji 4.9.1, która wprowadza ochronę przed frontrunningiem. Użytkownicy, którzy nie mogą zaktualizować, powinni przesyłać transakcje tworzenia propozycji do punktu końcowego z ochroną przed frontrunningiem.
Oryginalny opis (angielski, źródło NVD)
OpenZeppelin Contracts is a library for smart contract development. By frontrunning the creation of a proposal, an attacker can become the proposer and gain the ability to cancel it. The attacker can do this repeatedly to try to prevent a proposal from being proposed at all. This impacts the `Governor` contract in v4.9.0 only, and the `GovernorCompatibilityBravo` contract since v4.3.0. This problem has been patched in 4.9.1 by introducing opt-in frontrunning protection. Users are advised to upgrade. Users unable to upgrade may submit the proposal creation transaction to an endpoint with frontrunning protection as a workaround.