Vyper: Speicherkorruption durch interne Funktionsaufrufe in Arrays
Zusammenfassung
Vyper-Versionen ab 0.1.0b4 vor 0.3.0 können den Speicher beschädigen, wenn interne Funktionsaufrufe in Arrays platziert werden, da ein falscher Stack-Tip-Zeiger verwendet wird. Betroffen sind verschachtelte Array-Elemente, Argumente externer Aufrufe, Struct-Literale und raw_log-Topics. Ein Angreifer kann einen laufenden Dienst nicht direkt ausnutzen; die Auswirkung ist ein fehlerhaftes Verhalten von Smart Contracts, die mit einer verwundbaren Version kompiliert wurden.
Betroffen
- Vyper ab 0.1.0b4 vor 0.3.0 (CVE-Eintrag, VulnCheck, Mend)
- Der Hersteller-Advisory GHSA-22wc-c9wj-6q2v nennt betroffene Versionen unterhalb 0.2.11; die Abweichung zum CVE-Eintrag ist ungeklärt
- Betroffenes Codemuster: interne Aufrufe in verschachtelten Array-Elementen, Argumenten externer Aufrufe, Struct-Literalen oder raw_log-Topics
Behoben in
- Vyper 0.3.0 (Korrektur über Pull Request #2345 und #2447 laut Hersteller-Advisory)
- Das Hersteller-Advisory nennt 0.2.12 als korrigierte Version; die Abweichung ist ungeklärt, daher 0.3.0 oder neuer verwenden
Umgehung
- Unbekannt. In den Quellen wurde keine Umgehungsmassnahme gefunden; das Aktualisieren auf eine korrigierte Version ist die Abhilfe.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA-KEV-Kennzeichnung: Nein. CISA-SSVC: Ausnutzung keine, nicht automatisierbar.
- Die EPSS-Werte unterscheiden sich zwischen den Quellen (0.00284 laut Tenable, 0.28 laut Mend).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Abhängigkeitsdateien und Build-Pipelines auf vyper unterhalb 0.3.0 prüfen.
- Auf Vyper 0.3.0 oder neuer aktualisieren.
- Mit älteren Versionen erstellte Contracts nach Prüfung und Test neu kompilieren und neu deployen.
- Contract-Code bei laufenden Projekten auf die genannten Muster prüfen.
- Das Risiko betrifft hauptsächlich die Blockchain- und Smart-Contract-Entwicklung; gewöhnliche Server und Büro-IT sind nicht exponiert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-22wc-c9wj-6q2v github.com
- VulnCheck advisory: Vyper before 0.3.0 Memory Corruption www.vulncheck.com
- Tenable CVE-2021-48020 www.tenable.com
- Mend vulnerability database CVE-2021-48020 www.mend.io
- Snyk SNYK-PYTHON-VYPER-1252242 security.snyk.io
- OSV GHSA-22wc-c9wj-6q2v osv.dev
- VulDB 423883 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.