CVE-2023-31290

ملخص

Trust Wallet Core قبل الإصدار 3.1.1، المستخدم في إضافة متصفح Trust Wallet قبل الإصدار 0.0.183، يسمح بسرقة الأموال لأن الإنتروبيا تبلغ 32 بت فقط، كما تم استغلاله في البرية في ديسمبر 2022 ومارس 2023. يحدث هذا لأن مولّد Mersenne Twister mt19937 يأخذ قيمة واحدة من 32 بت كبذرة إدخال، مما ينتج عنه أربعة مليارات فقط من عبارات الاستعادة (mnemonics) الممكنة. الإصدارات المتأثرة من إضافة المتصفح هي 0.0.172 حتى 0.0.182. لسرقة الأموال بكفاءة، يمكن للمهاجم تحديد جميع عناوين إيثيريوم التي أُنشئت منذ إصدار 0.0.172، والتحقق مما إذا كانت عناوين إيثيريوم يمكن أن تكون قد أُنشئت بواسطة هذه الإضافة. للاستجابة للخطر، يحتاج المستخدمون المتأثرون إلى ترقية إصدار المنتج وأيضًا نقل الأموال إلى عنوان محفظة جديد.

• py_trustwallet_wasmPoC

  (CVE-2023-31290) Trust Wallet Core قبل الإصدار 3.1.1، المستخدم في ملحق متصفح Trust Wallet قبل الإصدار 0.0.183، يسمح بسرقة الأموال لأن الإنتروبيا هي 32 بت، كما تم استغلاله في البرية في ديسمبر 2022 ومارس 2023.