CVE-2026-24889 Эксплойт и детали уязвимости

soroban-sdk — это Rust SDK для контрактов Soroban. Арифметическое переполнение может быть вызвано в методах `Bytes::slice`, `Vec::slice` и `Prng::gen_range` (для `u64`) в `soroban-sdk` в версиях до `25.0.1`, `23.5.1` и `25.0.2` включительно. Контракты, которые передают управляемые пользователем или вычисляемые границы диапазона в `Bytes::slice`, `Vec::slice` или `Prng::gen_range`, могут незаметно работать с неправильными диапазонами данных или генерировать случайные числа из непредусмотренного диапазона, что потенциально может привести к повреждению состояния контракта. Обратите внимание, что лучшая практика при использовании soroban-sdk и создании контрактов Soroban — всегда включать overflow-checks = true. Инструмент `stellar Contract init`, который подготавливает шаблон для контракта Соробана, а также все примеры и документация, поощряют использование настройки `overflow-checks = true` в профилях `release`, чтобы эти арифметические операции завершались неудачно, а не молча переносились. На контракты это влияет только в том случае, если они явно или неявно используют `overflow-checks = false`. Ожидается, что на большинство контрактов это не повлияет, поскольку лучшая практика, поддерживаемая инструментами, — это включение «проверок переполнения». Исправление, доступное в `25.0.1`, `23.5.1` и `25.0.2`, заменяет голую арифметику на `checked_add` / `checked_sub`, обеспечивая ловушки переполнения независимо от настроек профиля `overflow-checks`. В качестве обходного пути можно настроить рабочие области контракта с помощью профиля, доступного в GitHub Security Advisory, чтобы включить проверки переполнения при арифметических операциях. Это лучшая практика при разработке контрактов Соробана и по умолчанию, если используется шаблон контракта, сгенерированный с помощью `stellar Contract Init`. Альтернативно, контракты могут проверять границы диапазона перед их передачей в `slice` или `gen_range`, чтобы гарантировать, что преобразования не могут переполниться.

Показать оригинальное описание (английский)

soroban-sdk is a Rust SDK for Soroban contracts. Arithmetic overflow can be triggered in the `Bytes::slice`, `Vec::slice`, and `Prng::gen_range` (for `u64`) methods in the `soroban-sdk` in versions up to and including `25.0.1`, `23.5.1`, and `25.0.2`. Contracts that pass user-controlled or computed range bounds to `Bytes::slice`, `Vec::slice`, or `Prng::gen_range` may silently operate on incorrect data ranges or generate random numbers from an unintended range, potentially resulting in corrupted contract state. Note that the best practice when using the `soroban-sdk` and building Soroban contracts is to always enable `overflow-checks = true`. The `stellar contract init` tool that prepares the boiler plate for a Soroban contract, as well as all examples and docs, encourage the use of configuring `overflow-checks = true` on `release` profiles so that these arithmetic operations fail rather than silently wrap. Contracts are only impacted if they use `overflow-checks = false` either explicitly or implicitly. It is anticipated the majority of contracts could not be impacted because the best practice encouraged by tooling is to enable `overflow-checks`. The fix available in `25.0.1`, `23.5.1`, and `25.0.2` replaces bare arithmetic with `checked_add` / `checked_sub`, ensuring overflow traps regardless of the `overflow-checks` profile setting. As a workaround, contract workspaces can be configured with a profile available in the GitHub Securtity Advisory to enable overflow checks on the arithmetic operations. This is the best practice when developing Soroban contracts, and the default if using the contract boilerplate generated using `stellar contract init`. Alternatively, contracts can validate range bounds before passing them to `slice` or `gen_range` to ensure the conversions cannot overflow.

Меню

CVE-2026-24889

Матрица атаки

СТРОКА CVSS ВЕКТОРА

Тип уязвимости (CWE)

Источники и патчи

Похожие уязвимости

CVE-2026-1664

CVE-2026-1699

CVE-2026-24910

CVE-2026-24480

CVE-2025-11065

CVE Details

Последние новости