CVE-2026-62337

ŚrednieCVSS 6.9

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

SNARK Verifier to generyczny weryfikator (S)NARK. W wersjach przed 0.2.5 obwód agregacji Halo 2 może nieprawidłowo obsługiwać punkty dowodu zakodowane jako punkt w nieskończoności. Funkcja EcPointLoader::multi_scalar_multiplication umieszcza bazę Value::Assigned(_) w parze z Value::Constant(ONE) na liście zmiennych bazowych i przekazuje ją bezpośrednio do sum_with_const. Domyślny shim deleguje do halo2-lib EccChip::sum, którego niekompletne dodawanie afiniczne zakłada punkty wejściowe różne od tożsamości. Punkt dowodu kontrolowany przez prover, zakodowany jako (0, 0), może zatem wejść do końcowej sumy agregacji przez skrót skalara jeden i wpłynąć na obliczenia MSM lub akumulatora. Praktyczna wykorzystywalność zależy od otaczających kontroli agregacji i final-decider; biuletyn nie potwierdza uniwersalnej akceptacji nieprawidłowych dowodów. Problem naprawiono w wersji 0.2.5.

Ocena ryzyka

Może pozwolić na manipulację obliczeniami agregacji i akceptację nieprawidłowych dowodów w zależności od konfiguracji, co podważa integralność weryfikacji.

Rekomendacja

Zaktualizuj SNARK Verifier do wersji 0.2.5 lub nowszej.

Inne podatności w SNARK Verifier

CVE-2026-61618Średnie
SNARK Verifier to generyczny weryfikator (S)NARK. W wersjach przed 0.2.5 limb publicznej instancji akumulatora KZG są dekodowane bez konsekwentnego egzekwowania kanonicznych granic limb przed rekonstrukcją współrzędnych krzywej eliptycznej. PlonkProof::read wybiera skalary za pomocą accumulator_indices i przekazuje je do AccumulatorEncoding::from_repr. Dla loadera EVM LimbsEncoding::from_repr przekazuje je do EvmLoader::ec_point_from_limbs w snark-verifier/src/loader/evm/loader.rs, gdzie shl i add rekonstruują współrzędne, zanim validate_ec_point sprawdzi wynikowy punkt afiniczny, a nie oryginalne granice limb. Powiązana ścieżka natywna w snark-verifier/src/pcs/kzg/accumulator.rs może osiągnąć dekodowanie oparte na asercji lub unwrap i panikę zamiast zwrócić błąd weryfikacji. Pozwala to na niekanoniczne kodowania na granicy weryfikatora i może spowodować awarię natywnego weryfikatora. Oczekuje się, że standardowe obwody agregacji SDK ograniczają limby akumulatora przed tą granicą, co ogranicza praktyczną wykorzystywalność. Problem naprawiono w wersji 0.2.5.

Oryginalny opis (angielski, źródło NVD)

SNARK Verifier is a generic (S)NARK verifier. Prior to 0.2.5, the Halo 2 aggregation circuit can mishandle proof points encoded as the point at infinity. `EcPointLoader::multi_scalar_multiplication` places a `Value::Assigned(_)` base paired with `Value::Constant(ONE)` into its unscaled variable-base list and passes it directly to `sum_with_const`. The default shim delegates to halo2-lib `EccChip::sum`, whose incomplete affine addition assumes nonidentity input points. A prover-controlled proof point encoded as `(0, 0)` can therefore enter the final aggregation sum through the scalar-one shortcut and affect the MSM or accumulator computation. Practical exploitability depends on the surrounding aggregation and final-decider checks; the advisory does not establish universal acceptance of invalid proofs. This issue is fixed in version 0.2.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS