CVE-2023-38698 in ens-contracts
Сводка
по VulDB • 29.05.2026
Служба имен Ethereum (ENS) — это распределенная, открытая и расширяемая система именования, основанная на блокчейне Ethereum. Согласно документации, контроллеры имеют право регистрировать новые домены и продлевать срок действия существующих доменов, но не могут изменять право собственности или сокращать срок истечения действия существующих доменов. Однако предварительный анализ показывает, что контроллер, контролируемый злоумышленником, может сократить срок истечения действия существующих доменов из-за переполнения целочисленной переменной в функции renew. Уязвимость присутствует в пакете `@ensdomains/ens-contracts` до версии 0.0.22 включительно. При успешной эксплуатации эта уязвимость позволит злоумышленникам принудительно истечь срок действия любой записи ENS, что в конечном итоге позволит им захватить затронутые домены. В настоящее время для ее эксплуатации требуется вредоносный DAO. Тем не менее, любая уязвимость, присутствующая в контроллерах, потенциально может сделать эту проблему эксплуатируемой в будущем. Дополнительной проблемой является возможность скидок на продление. Если ENS решит внедрить в будущем систему, предлагающую неограниченное количество доменов .eth за фиксированную плату, уязвимость может стать эксплуатируемой любым пользователем из-за снижения стоимости атаки. Версия 0.0.22 содержит исправление для этой проблемы. До тех пор, пока стоимость регистрации остается линейной или суперлинейной в зависимости от продолжительности регистрации, или ограничена разумным максимумом (например, 1 миллион лет), эта уязвимость может быть эксплуатируема только вредоносным DAO. Таким образом, промежуточным обходным решением является отсутствие каких-либо действий.
If you want to get best quality of vulnerability data, you may have to visit VulDB.