Vyper: Speicherkorruption durch verschachtelte interne Funktionsaufrufe

Zusammenfassung

Vyper, ein Python-ähnlicher Smart-Contract-Compiler für die Ethereum Virtual Machine, enthält eine Speicherkorruption (CWE-787). Ein falscher Stack-Tip-Zeiger tritt auf, wenn interne Funktionsaufrufe innerhalb von Tupeln, verschachtelten Ausdrücken, Aufrufargumenten oder Builtins wie concat oder ecrecover stehen. Mit betroffenen Versionen kompilierte Contracts können dadurch falsche Werte zurückgeben oder falsche Argumente an externe Aufrufe übergeben, sofern das verwundbare Codemuster verwendet wird.

Betroffen

• Vyper von 0.1.0b4 bis vor 0.3.0 (gemäss CVE-Eintrag und VulnCheck)
• Herstellerhinweis GHSA-2r3x-4mrv-mcxf: Versionen >= 0.1.0b4, < 0.3.0; der Hersteller gibt an, dass das Problem in v0.2.6 nur teilweise behoben wurde und bis v0.2.16 weiterhin bestand
• Mit betroffenen Versionen kompilierte Contracts, die die verwundbaren Aufrufmuster verwenden

Behoben in

• Der Hersteller gibt an, dass das Problem in v0.3.0 durch eine neue interne Aufrufkonvention (#2447) behoben ist. Die Release-Seite zu v0.3.0 warnt jedoch vor einer kritischen Schwachstelle (GHSA-5824-cm3x-3c38) und empfiehlt v0.3.1 oder höher.
• Genaue Version mit vollständiger Behebung: Unbekannt.
• Aktuelle, gepflegte Version: siehe https://github.com/vyperlang/vyper/releases

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme bekannt.
• Interne Funktionsaufrufe innerhalb von Tupeln, verschachtelten Ausdrücken, Aufrufargumenten und Builtins vermeiden, bis der Code mit einer behobenen Version neu kompiliert wurde.

Ausnutzung

• Nicht im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, teilweise technische Auswirkung.
• Keine Berichte über Ausnutzung in der Praxis und kein öffentlich bekannter Proof of Concept. Der Hinweis enthält ein kurzes Codebeispiel, das den Fehler auslöst.

Unsere Empfehlung

• Alle Vyper-Compiler-Versionen in Build-Pipelines, Lockfiles und Entwicklungsumgebungen inventarisieren.
• Auf die aktuelle, gepflegte Vyper-Version aktualisieren (mindestens v0.3.1; aktuelle Version auf der Release-Seite des Herstellers prüfen).
• Contracts, die interne Funktionsaufrufe in Tupeln, Aufrufargumenten, Array-Literalen oder Builtins verwenden, neu kompilieren und erneut prüfen.
• Bereits bereitgestellte Contracts separat beurteilen, da eine Neubereitstellung eventuell nicht möglich ist.
• Relevant nur für Organisationen, die Ethereum-Smart-Contracts entwickeln, prüfen oder betreiben; sonst ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2r3x-4mrv-mcxf github.com
• VulnCheck Advisory www.vulncheck.com
• GitLab Advisory Mirror GHSA-2r3x-4mrv-mcxf advisories.gitlab.com
• Vyper Release v0.3.0 github.com
• Vyper Pull Request 2345 github.com
• Vyper Releases github.com
• Snyk SNYK-PYTHON-VYPER-1252241 security.snyk.io
• CISA SSVC data via OpenCVE app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:27.