CVE-2024-45040 in gnark
요약
\~에 의해 VulDB • 2026. 06. 08.
gnark는 회로 설계를 위한 고수준 API를 제공하는 고속 zk-SNARK 라이브러리입니다. 버전 0.11.0 이전에서는 Groth16에서 개인 위트니스(private witnesses)에 대한 커밋먼트(commitments) 구현이 영지식(zero-knowledge) 속성을 위반합니다. 이 취약점은 커밋먼트가 포함된 Groth16 증명(proofs)에만 영향을 미칩니다. 주목할 점은 PLONK 증명은 영향받지 않는다는 것입니다.
이 취약점은 증명의 영지식 속성에 영향을 줍니다. 위트니스(비밀 또는 내부) 값이 작은 경우, 공격자가 모든 가능한 선택지를 열거하여 실제 값을 추론할 수 있습니다. 반면, 커밋해야 할 변수의 가능한 선택지가 많거나 많은 값들이 커밋되는 경우에는 모든 유효한 선택지를 열거하는 것이 계산적으로 불가능해집니다. 이 취약점은 증명의 완전성(completeness)이나 정당성(soundness)에는 영향을 미치지 않습니다.
이 취약점은 버전 0.11.0에서 수정되었습니다. 문제를 해결하기 위한 패치는 증명(proving) 시점에 커밋된 값 목록에 추가적인 무작위 값을 더해 나머지 커밋된 값들을 마스킹하는 것입니다. 우회 조치(workaround)로 사용자는 수동으로 무작위 값에 대해 커밋할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.