CVE-2025-24371

Nome do Software Vulnerável e Versões Afetadas Versões do CometBFT anteriores a 0.38.17 Versões do CometBFT anteriores a 1.0.1

Descrição O CometBFT é um mecanismo de replicação de máquina de estados determinístico, distribuído e tolerante a falhas bizantinas. No protocolo blocksync, os peers enviam suas alturas base e latest quando se conectam a um novo nó, que está sincronizando com o topo da rede. O código existente não verifica o caso em que um peer reporta primeiro uma altura latest X e imediatamente após uma altura Y, onde X > Y. Esta condição requer a introdução de código malicioso no full node que reporta primeiro uma altura latest inexistente e, em seguida, reporta uma altura latest menor, envolvendo nós que estão sincronizando usando o protocolo blocksync.

Recomendações Para versões anteriores a 0.38.17, atualize para a versão 0.38.17 ou posterior. Para versões anteriores a 1.0.1, atualize para a versão 1.0.1 ou posterior. Como medida temporária, os operadores podem tentar banir peers maliciosos da rede.