CVE-2021-41153
Publiée le 2021-10-18 · Dernière modification le 2026-06-17
Les applications utilisant la caisse (crate) Rust `evm` pour implémenter la machine virtuelle Ethereum sont affectées par une erreur de logique dans le traitement des instructions de saut (jump). Un attaquant distant non authentifié peut exploiter cette faille pour exécuter du code arbitraire ou manipuler l'état, bien que l'attaque soit complexe à mettre en œuvre. Aucune interaction de l'utilisateur n'est requise, mais l'impact de l'exploit dépend de si le logiciel cible le réseau principal Ethereum ou une blockchain autonome.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The evm crate is a pure Rust implementation of Ethereum Virtual Machine. In `evm` crate `< 0.31.0`, `JUMPI` opcode's condition is checked after the destination validity check. However, according to Geth and OpenEthereum, the condition check should happen before the destination validity check. This is a **high** severity security advisory if you use `evm` crate for Ethereum mainnet. In this case, you should update your library dependency immediately to on or after `0.31.0`. This is a **low** severity security advisory if you use `evm` crate in Frontier or in a standalone blockchain, because there's no security exploit possible with this advisory. It is **not** recommended to update to on or after `0.31.0` until all the normal chain upgrade preparations have been done. If you use Frontier or other `pallet-evm` based Substrate blockchain, please ensure to update your `spec_version` before updating this. For other blockchains, please make sure to follow a hard-fork process before you update this.