Zaloguj się
Deutsch English Español Polski
Średnia

vyper default functions don't respect nonreentrancy keys

  • Ujawniono: 25.04.2024
  • Aktualizacja: 11.10.2026 12:20

Summary

Prior to v0.3.0, __default__() functions did not respect the @nonreentrancy decorator and the lock was not emitted. This is a known bug and was already visible in the issue tracker (https://github.com/vyperlang/vyper/issues/2455), but it is being re-issued as an advisory so that tools relying on the advisory publication list can incorporate it into their searches.

A contract search was additionally performed and no vulnerable contracts were found in production.

PoC

vyper
@external
@payable
@nonreentrant("default")
def __default__():
    pass

after codegen:

[seq,
  [if, [lt, calldatasize, 4], [goto, fallback]],
  [mstore, 28, [calldataload, 0]],
  [with, _func_sig, [mload, 0], seq],
  [seq_unchecked,
    [label, fallback],
    [seq,
      pass,
      # Line 5
      pass,
      pass,
      # Line 4
      stop]]],

Impact

No vulnerable production contracts were found. Additionally, using a lock on a default function is a very sparsely used pattern. As such, the impact is low.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) vyper < 0.3.0 0.3.0

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-667
Platforma
Python (PyPI)
Paczka
vyper
Ujawniono
25.04.2024
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2024-163 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m2v9-w374-5hj9 - CC BY 4.0

Historia podatności: vyper

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (47) w archiwum
Wszystkich wpisów
47
Pierwsza → ostatnia
03.2020 10.2026
Bez poprawki
5
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 14
  • Średnia 20
  • Niska 10

Ujawnienia w latach

Istotność:
  1. vyper default functions don't respect nonreentrancy keys ten wpis
    Średnia · 5.3 CVE-2024-32648 < 0.3.0 0.3.0
  2. Vyper negative array index bounds checks
    Krytyczna · 9.8 CVE-2024-24563 < 0.4.0 0.4.0
  3. Vyper's bounds check on built-in `slice()` function can be overflowed
    Krytyczna · 9.8 CVE-2024-24561 < 0.4.0 0.4.0
  4. concat built-in can corrupt memory in vyper
    Wysoka · 7.3 CVE-2024-22419 >= 0.3.0, < 0.4.0 0.4.0
  5. incorrect storage layout for contracts containing large arrays
    Wysoka · 7.5 CVE-2023-46247 < 0.3.8 0.3.8
  6. Vyper vulnerable to memory corruption in certain builtins utilizing `msize`
    Wysoka · 8.1 CVE-2023-42443 >= 0.3.4, < 0.3.10 0.3.10
  7. Vyper has incorrectly allocated named re-entrancy locks
    Krytyczna · 8.7 CVE-2023-39363 >= 0.2.15, < 0.3.1 0.3.1
  8. Vyper vulnerable to incorrect ordering of arguments for kwargs passed to internal calls
    Wysoka · 7.5 CVE-2023-32059 < 0.3.8 0.3.8
  9. Vyper vulnerable to integer overflow in loop
    Wysoka · 7.5 CVE-2023-32058 < 0.3.8 0.3.8
  10. Vyper vulnerable to OOB DynArray access when array is on both LHS and RHS of an assignment
    Wysoka · 7.5 CVE-2023-31146 < 0.3.8 0.3.8
  11. vyper vulnerable to storage allocator overflow
    Wysoka · 7.5 CVE-2023-30837 < 0.3.8 0.3.8
  12. Incorrect success value returned in vyper
    Wysoka · 7.5 CVE-2023-30629 >= 0.3.1, < 0.3.8 0.3.8
  13. Multiple evaluation of contract address in call in vyper
    Wysoka · 7.5 CVE-2022-29255 < 0.3.4 0.3.4
  14. Vyper is a pythonic Smart Contract Language for the ethereum virtual machine. In affected versions, the return of `<iface>.returns_int128()` is not validated to fall within the bounds of `int128`. Thi
    Wysoka · 8.8 CVE-2022-24845 < 0.3.2 0.3.2
  15. Buffer Overflow in vyper
    Wysoka · 7.1 CVE-2022-24788 < 0.3.2 0.3.2
  16. Incorrect Comparison in Vyper
    Wysoka · 7.5 CVE-2022-24787 < 0.3.2 0.3.2
  17. Memory corruption when returning a literal struct with a private call inside of it
    Wysoka · 7.5 CVE-2021-41121 < 0.3.0 0.3.0
  18. Storage corruption due to variables overwritten by re-entrancy locks
    Wysoka ghsa-7f92-rr6w-cq64 >= 0.2.13, < 0.2.15 0.2.15

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.