vyper performs double eval of the slice start/length args in certain cases
Summary
Using the slice builtin can result in a double eval vulnerability when the buffer argument is either msg.data, self.code or <address>.code and either the start or length arguments have side-effects.
A contract search was performed and no vulnerable contracts were found in production. Having side-effects in the start and length patterns is also an unusual pattern which is not that likely to show up in user code. It is also much harder (but not impossible!) to trigger the bug since 0.3.4 since the unique symbol fence was introduced (https://github.com/vyperlang/vyper/pull/2914).
Details
It can be seen that the _build_adhoc_slice_node function of the slice builtin doesn't cache the mentioned arguments to the stack: https://github.com/vyperlang/vyper/blob/4595938734d9988f8e46e8df38049ae0559abedb/vyper/builtins/functions.py#L244
As such, they can be evaluated multiple times (instead of retrieving the value from the stack).
PoC
with Vyper version 0.3.3+commit.48e326f the call to foo passes the asserts:
l: DynArray[uint256, 10]
@external
def foo(cs: String[64]) -> uint256:
for i in range(10):
self.l.append(1)
assert len(self.l) == 10
s: Bytes[64] = b""
s = slice(msg.data, self.l.pop(), 3)
assert len(self.l) == 10 - 2
return len(self.l)Patches
Patched in https://github.com/vyperlang/vyper/pull/3976.
Impact
No vulnerable production contracts were found.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | vyper | < 0.4.0 | 0.4.0 |
Odnośniki
- https://github.com/vyperlang/vyper/security/advisories/GHSA-r56x-j438-vw5m
- https://github.com/advisories/GHSA-r56x-j438-vw5m
- https://nvd.nist.gov/vuln/detail/CVE-2024-32646
- https://github.com/vyperlang/vyper/pull/2914
- https://github.com/pypa/advisory-database/tree/main/vulns/vyper/PYSEC-2024-207.yaml
- https://github.com/vyperlang/vyper
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-20- Platforma
- Python (PyPI)
- Paczka
vyper- Ujawniono
- 25.04.2024
- Aktualizacja
- 11.10.2026 12:20
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2024-207 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-r56x-j438-vw5m - CC BY 4.0
Historia podatności: vyper
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 47
- Pierwsza → ostatnia
- 03.2020 10.2026
- Bez poprawki
- 5
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 3
- Wysoka 14
- Średnia 20
- Niska 10
Ujawnienia w latach
- 2020: 1
- 2021: 5
- 2022: 4
- 2023: 14
- 2024: 14
- 2025: 6
- 2026: 3
-
vyper performs double eval of the slice start/length args in certain cases ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.