CVE-2023-38698 in ens-contracts
요약
\~에 의해 VulDB • 2026. 06. 01.
이더리움 네임 서비스(ENS)는 이더리움 블록체인을 기반으로 하는 분산형, 오픈, 확장 가능한 네임 시스템입니다. 문서에 따르면, 컨트롤러는 새 도메인을 등록하고 기존 도메인의 만료일을 연장할 수 있지만, 기존 도메인의 소유권을 변경하거나 만료일을 단축할 수는 없습니다. 그러나 초기 분석 결과, renew 함수에서 정수 오버플로우(integer overflow)로 인해 공격자가 컨트롤러를 조작하여 기존 도메인의 만료일을 단축할 수 있는 것으로 나타났습니다. 이 취약점은 버전 0.0.22 이전의 `@ensdomains/ens-contracts`에 존재합니다. 성공적으로 악용될 경우, 공격자는 모든 ENS 레코드의 강제로 만료되도록 하여 해당 도메인을 자신에게 양도받을 수 있습니다. 현재 이를 악용하려면 악의적인 DAO(탈중앙화 자율 조직)가 필요합니다. 그럼에도 불구하고 컨트롤러에 존재하는 다른 취약점으로 인해 향후 이 문제가 악용 가능해질 수 있습니다. 또 다른 우려 사항은 갱신 할인 가능성입니다. 향후 ENS가 고정 요금으로 무제한 .eth 도메인을 제공하는 시스템을 도입하기로 결정할 경우, 공격 비용이 감소함에 따라 누구나 이 취약점을 악용할 수 있게 될 것입니다. 버전 0.0.22에는 이 문제에 대한 패치가 포함되어 있습니다. 등록 비용이 등록 기간에 따라 선형 또는 초선형으로 증가하거나 합리적인 최대치(예: 100만 년)로 제한되는 한, 이 취약점은 악의적인 DAO에 의해서만 악용될 수 있습니다. 따라서 중간 조치로는 아무런 조치도 취하지 않는 것이 권장됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.