CVE-2023-38698 in ens-contracts
Resumen
por VulDB • 2026-05-17
El Servicio de Nombres de Ethereum (ENS) es un sistema de nombres distribuido, abierto y extensible basado en la blockchain de Ethereum. Según la documentación, a los controladores se les permite registrar nuevos dominios y ampliar la caducidad de los dominios existentes, pero no pueden cambiar la propiedad ni reducir el tiempo de expiración de los dominios existentes. Sin embargo, un análisis preliminar sugiere que un controlador controlado por un atacante podría ser capaz de reducir el tiempo de expiración de los dominios existentes debido a un desbordamiento de entero en la función `renew`. La vulnerabilidad reside en `@ensdomains/ens-contracts` anterior a la versión 0.0.22. Si se explota con éxito, esta vulnerabilidad permitiría a los atacantes forzar la expiración de cualquier registro ENS, permitiéndoles finalmente reclamar los dominios afectados para sí mismos. Actualmente, requeriría un DAO malicioso para explotarlo. No obstante, cualquier vulnerabilidad presente en los controladores podría potencialmente hacer que este problema sea explotable en el futuro. Una preocupación adicional es la posibilidad de descuentos de renovación. Si ENS decide implementar un sistema que ofrezca dominios .eth ilimitados por una tarifa fija en el futuro, la vulnerabilidad podría volverse explotable por cualquier usuario debido a la reducción del costo de ataque. La versión 0.0.22 contiene un parche para este problema. Mientras el costo de registro permanezca lineal o superlineal en función de la duración del registro, o esté limitado a un máximo razonable (por ejemplo, 1 millón de años), esta vulnerabilidad solo podría ser explotada por un DAO malicioso. Por lo tanto, la solución intermedia es no tomar ninguna acción.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.