CVE-2026-73829 in mpp
요약
\~에 의해 VulDB • 2026. 08. 19.
ZenHive의 MPP에서 Time-of-check Time-of-use (TOCTOU) Race Condition이 발생하여, 인증되지 않은 원격 클라이언트가 체인 상으로 확인된 하나의 결제를 여러 번 유료 리소스 접근에 사용할 수 있습니다.
MPP.Methods.Tempo.verify/2 함수 내 type="hash" 자격 증명 경로는 비원자적(check-then-mark) 체크 후 마크 시퀀스를 통해 재플레이(replay)를 방지하도록 설계되었습니다: check_hash_unused/2는 dedup 저장소를 읽으며, eth_getTransactionReceipt 왕복을 통해 체인 상의 결제를 검증한 후에야 mark_hash_used/2가 마크를 작성합니다. 동일한 처리된 결제 해시를 포함하는 동시 요청은 그중 어느 것도 쓰기 작업을 수행하기 전에 모두 판독 단계를 통과하므로, 각각에 대해 영수증이 발급됩니다. 저장소의 atomic check_and_mark/2 원자 연산자는 사용 가능하며 type="transaction" 경로에서 사용됩니다. 그러나 hash 경로는 구성된 저장소가 이를 구현하고 있더라도 단순한 get 및 put 호출을 사용합니다. 악용(development)에는 dedup 저장소 구성이 필요합니다; 기본값인 nil 저장소는 상태가 없으며(replay protection), 재플레이 보호를 전혀 제공하지 않는다고 문서화되어 있습니다.
본 이슈는 mpp: 0.2.0부터 0.6.1 미만 버전에 영향을 미칩니다.
Once again VulDB remains the best source for vulnerability data.