gnark 0.16.5 expédie le correctif
La divulgation compte au-delà de la bibliothèque elle-même. Consensys déploie gnark seul Éthereum ($ETH) Le réseau de layer 2, Linea, et une layer 2 exécutent des transactions en dehors de la chaîne principale avant de renvoyer la preuve compressée de ces résultats à Ethereum, précisément le pipeline où une fausse preuve acceptée cause des dommages. La vérification récursive, l’une des cibles répertoriées, compresse de nombreuses preuves en une seule, de sorte qu’une seule étape falsifiée peut se propager à travers toute une chaîne de vérifications. L’avis indique que le défaut principal affecte les versions gnark 0.16.0 à 0.16.4. BLS12-381 est la courbe conviviale utilisée pour les signatures du validateur Ethereum, donnant au défaut une ligne directe vers la pile cryptographique de la chaîne, tandis que BW6-761 est conçu pour s’associer avec elle dans des paramètres de preuve récursive. Lors de l’audit du code concerné, l’équipe de développement a également découvert des problèmes de vérification supplémentaires antérieurs à cette divulgation et les a résolus dans la même version. Cette version, gnark 0.16.5, a déjà été livrée. Consensys a tracé une ligne nette entre les deux défauts dans ses directives : le premier n’a d’autre remède que la mise à niveau, tandis que le second peut être temporairement résolu en ajoutant des étapes de vérification spécifiques au processus concerné. L’avis associe le correctif à des instructions pratiques pour les équipes qui ne peuvent pas effectuer la mise à niveau immédiatement, de sorte que le correctif est une mise à jour des dépendances que les projets en aval doivent se retirer eux-mêmes. Les équipes qui gèrent la bibliothèque sont donc confrontées à différents niveaux d’urgence en fonction du chemin de code qu’elles exercent. La société a noté que la vulnérabilité avait été divulguée en privé avant que l’avis ne soit rendu public et qu’aucune indication d’abus réel n’avait été détectée à ce jour. Il n’a pas précisé si la pile de démonstration en direct de Linea exécutait une version concernée, laissant ainsi l’exposition pratique de son propre réseau non précisée. L’avis définit le risque de contrefaçon comme conditionnel à l’environnement d’application plutôt que confirmé pour un réseau spécifique.
gnark se situe en dehors du consensus
Pour Éthereum ($ETH) en soi, l’exposition est plus étroite que ce que suggère le seul score de 7,5. gnark prouve l’infrastructure, pas le code consensuel : la production de blocs, l’ensemble des validateurs et l’exécution des contrats intelligents s’exécutent sur des implémentations auxquelles l’avis ne touche pas. Le risque se concentre dans les systèmes qui intègrent gnark, Linea en tête d’entre eux, et dans toute application qui s’appuie sur des preuves vérifiées récursivement. Étant donné qu’aucune attaque n’a été observée, il s’agit d’une divulgation technique plutôt que d’un FUD cryptographique à l’échelle du marché, bien que la fenêtre ouverte corresponde à l’intervalle entre l’avis du 9 novembre et une mise à niveau terminée sur les projets dépendants. Ce que personne n’a confirmé, c’est la question que Consensys n’a pas posée : si les testeurs de production de Linea ont déjà exécuté les versions concernées. La pile d’infrastructure Ethereum plus large a déjà émis des avertissements de sécurité via GitHub et les canaux en chaîne, depuis une alerte SlowMist sur une attaque de chaîne d’approvisionnement Swarm jusqu’aux escroqueries dépoussiérant un portefeuille Ethereum Genesis, un modèle qui fait des audits de dépendance la défense permanente.
