01:57
Peneliti Mengungkap Kerentanan Zero-Day Kritis CVSS 7.1 pada Lapisan Konsensus Cosmos CometBFT
Peneliti keamanan Doyeon Park mengungkap kerentanan zero-day CVSS 7.1 di Cosmos' CometBFT yang berpotensi menyebabkan node membeku saat sinkronisasi; penolakan dari vendor, penurunan tingkat, dan pengungkapan mendorong pengungkapan pada 21 April; validator seharusnya menghindari restart sebelum patch.
Abstrak: Peneliti keamanan Doyeon Park mengungkap kerentanan zero-day kritis CVSS 7.1 pada lapisan konsensus CometBFT di Cosmos yang dapat menyebabkan node membeku selama sinkronisasi blok, berpotensi memengaruhi jaringan yang mengamankan lebih dari $8 miliar aset. Kerentanan ini tidak dapat secara langsung mencuri dana. Park memulai pengungkapan terkoordinasi mulai 22 Februari, tetapi menghadapi penolakan vendor terhadap pengungkapan publik dan masalah dengan HackerOne. Vendor menurunkan kerentanan terkait (CVE-2025-24371) menjadi tingkat informasional pada 6 Maret, mendorong Park merilis bukti konsep tingkat jaringan sebelum pengungkapan publik pada 21 April. Advisory tersebut merekomendasikan validator Cosmos menghindari melakukan restart node sampai patch dirilis; node yang sudah berada dalam konsensus dapat terus beroperasi, tetapi restart dan masuk ke sinkronisasi ulang dapat membuat mereka rentan terhadap serangan dari rekan berbahaya, sehingga berisiko menimbulkan deadlock.
Lainnya
ATOM3,5%