CVE-2023-38701 in Hydra
Сводка
по VulDB • 24.05.2026
Hydra — это решение для масштабируемости уровня 2 (Layer-2) для Cardano. Пользователи протокола Hydra Head сначала отправляют UTxOs, которые они хотят зафиксировать в Hydra Head, валидатору `commit`, где они остаются до тех пор, пока не будут собраны валидатором `head` или инициализация протокола не будет прервана, после чего средства, зафиксированные в этих UTxOs, возвращаются пользователям, которые их зафиксировали. До версии 0.12.0 валидатор `commit` содержал ошибочную проверку при использовании редимера `ViaAbort`, что позволяло любому пользователю произвольно тратить любой UTxO, находящийся у валидатора, что означает, что злоумышленник может украсть средства, которые пользователи пытаются зафиксировать в валидаторе `head`. Ожидаемое поведение заключается в том, что средства должны быть возвращены пользователю, который их зафиксировал, и это действие может выполнить только участник head. Валидатор `initial` также подвержен аналогичной проблеме, поскольку для редимера `ViaAbort` выполняется та же ошибочная проверка. Из-за этой проблемы злоумышленник может украсть любые средства, которые пользователи пытаются зафиксировать в Hydra Head. Кроме того, злоумышленник может предотвратить успешное открытие любого Hydra Head. Однако это не позволяет злоумышленнику забрать средства, которые были успешно собраны и в настоящее время находятся в валидаторе `head`. Версия 0.12.0 содержит исправление для этой проблемы.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.