CVE-2023-38701 in Hydra
要約
〜によって VulDB • 2026年05月24日
HydraはCardanoのためのレイヤー2の拡張性ソリューションです。Hydraヘッドプロトコルのユーザーは、HydraヘッドにコミットしたいUTxOをまず`commit`バリデータに送信し、それらは`head`バリデータに収集されるか、プロトコルの初期化が中止されてコミットされたUTxOの値がコミットしたユーザーに戻されるまで、そこに留まります。バージョン0.12.0より前では、`commit`バリデータには`ViaAbort`リデーマーが使用された際に欠陥のあるチェックが含まれており、これにより任意のユーザーがバリデータに存在する任意のUTxOを恣意的に支出できるため、攻撃者はユーザーがヘッドバリデータにコミットしようとしている資金を盗むことができます。意図された動作では、資金は資金をコミットしたユーザーに返還されなければならず、ヘッドの参加者によってのみ実行可能であるべきです。`initial`バリデータも同様に影響を受けており、`ViaAbort`リデーマーに対して同じ欠陥のあるチェックが行われます。この問題により、攻撃者はユーザーがHydraヘッドにコミットしようとする任意の資金を盗むことができます。また、攻撃者は任意のHydraヘッドが正常にオープンされるのを防ぐこともできます。ただし、正常に収集され、現在`head`バリデータに存在する資金を攻撃者が奪うことはできません。バージョン0.12.0にはこの問題に対する修正が含まれています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.