La couche de consensus Cosmos CometBFT révèle une vulnérabilité 0-day à haut risque

Selon les nouvelles de ME, le 21 avril (UTC+8), le chercheur en sécurité Doyeon Park a révélé une vulnérabilité 0-day dans la couche de consensus de Cosmos (CometBFT), avec un score CVSS de 7,1 (élevé). Cette faille pourrait provoquer un arrêt (Stall) des nœuds de l'écosystème Cosmos, qui prennent en charge plus de 8 milliards de dollars d'actifs, lors de la phase de synchronisation des blocs, mais ne permettrait pas un vol direct d'actifs. Les détails techniques associés ont déjà été publiés sur GitHub, mais le chercheur n'a pas encore publié le code d'attaque complet. Doyeon Park a indiqué que, en raison du manque de coopération de l'équipe Cosmos — notamment le refus de publier le rapport, la classification de son signalement sur HackerOne comme spam, et la réduction non conforme aux normes internationales du niveau de gravité de la vulnérabilité — il a décidé de procéder à une divulgation publique après plusieurs tentatives de communication infructueuses. Park fournit un « guide de survie » pour les validateurs Cosmos, recommandant fortement d'éviter autant que possible le redémarrage des nœuds avant la publication du correctif. La vulnérabilité se déclenche pendant la phase de synchronisation des blocs ; si un nœud est redémarré et entre en phase de synchronisation, il risque d'entrer en impasse en interagissant avec un nœud pair malveillant, ce qui l'empêchera de réintégrer le réseau. (Source : Foresight News)