CVE-2022-23507 in tendermint-light-client
Riassunto
di VulDB • 24/06/2026
Tendermint è un motore di consenso blockchain ad alte prestazioni per applicazioni tolleranti ai guasti bizantini. Le versioni precedenti alla 0.28.0 contengono una potenziale vulnerabilità dovuta a una verifica errata della firma crittografica (Improper Verification of Cryptographic Signature), che colpisce chiunque utilizzi tendermint-light-client e i pacchetti correlati per eseguire la verifica del light client (ad esempio IBC-rs, Hermes). Il light client non verifica che gli ID delle catene dei header attendibili e di quelli non attendibili corrispondano, creando un possibile vettore di attacco in cui un soggetto che trova un header da una catena non attendibile che soddisfa tutte le altre condizioni di verifica (ad esempio, sufficienti firme sovrapposte dei validatori) potrebbe ingannare il light client. Il vettore di attacco è attualmente teorico e non esiste ancora un proof-of-concept per sfruttarlo su reti in produzione. Questo problema è stato risolto nella versione 0.28.0. Non ci sono soluzioni alternative (workaround).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.