CVE-2023-38698 in ens-contracts
要約
〜によって VulDB • 2026年05月29日
Ethereum Name Service (ENS)は、Ethereumブロックチェーンに基づく分散型、オープン、かつ拡張可能なネーミングシステムです。ドキュメントによると、コントローラーは新しいドメインの登録や既存ドメインの有効期限の延長を許可されていますが、既存ドメインの所有権の変更や有効期限の短縮はできません。しかし、予備的な分析では、renew関数における整数オーバーフローにより、攻撃者が操作可能なコントローラーが既存ドメインの有効期限を短縮できる可能性があることが示唆されています。この脆弱性は、バージョン0.0.22より前の`@ensdomains/ens-contracts`に存在します。これが成功裏に悪用されると、攻撃者は任意のENSレコードの有効期限を強制的に切れさせ、最終的に影響を受けたドメインを自分自身のものとして取得できるようになります。現在、これを悪用するには悪意のあるDAOが必要です。それでもなお、コントローラーに存在する任意の脆弱性が、将来的にこの問題を悪用可能にする可能性があります。もう一つの懸念事項は、更新割引の可能性です。ENSが将来的に固定料金で無制限の.ethドメインを提供するシステムを実装することを決定した場合、攻撃コストの削減により、この脆弱性は任意のユーザーによって悪用可能になる可能性があります。バージョン0.0.22にはこの問題に対するパッチが含まれています。登録コストが登録期間に基づいて線形または超線形であり続ける場合、または合理的な最大値（例：100万年）に制限されている限り、この脆弱性は悪意のあるDAOによってのみ悪用可能です。したがって、中間的な回避策は、何もしないことです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.