2026-04-22 01:57:58
Investigadora Revela Vulnerabilidade Zero-Day Crítica com CVSS 7,1 na Camada de Consenso da Cosmos CometBFT
A investigadora de segurança Doyeon Park divulgou uma vulnerabilidade zero-day com CVSS 7,1 no CometBFT da Cosmos, que pode provocar bloqueios de nós durante a sincronização; a resistência do fornecedor, as desvalorizações e a divulgação levaram a uma revelação a 21 de abril; os validadores devem evitar reinícios antes da aplicação da correção.
Resumo: A investigadora de segurança Doyeon Park divulgou uma vulnerabilidade zero-day crítica com CVSS 7,1 na camada de consenso do CometBFT da Cosmos, que poderia fazer os nós congelarem durante a sincronização de blocos, potencialmente afetando redes que protegem mais de $8 biliões em ativos. A vulnerabilidade não consegue, por si só, furtar fundos. Park deu início a uma divulgação coordenada a partir de 22 de fevereiro, mas enfrentou resistência do fornecedor à divulgação pública e problemas com a HackerOne. O fornecedor desclassificou uma vulnerabilidade relacionada (CVE-2025-24371) para “informational” a 6 de março, levando Park a disponibilizar uma prova de conceito a nível de rede antes da divulgação pública a 21 de abril. O aviso recomenda que os validadores da Cosmos evitem reiniciar nós até que as correções sejam disponibilizadas; os nós que já estiverem em consenso podem continuar, mas o reinício e a re-sincronização poderão expô-los a ataques por pares maliciosos, com risco de deadlock.