Анализ уязвимостей компилятора Solidity и стратегии противодействия

Компилятор является одним из основных компонентов современных компьютерных систем, его функция заключается в преобразовании исходного кода на высокоуровневом языке программирования в исполняемый компьютерный код. Как и код приложений, сам компилятор также может иметь уязвимости, которые в некоторых случаях могут привести к серьезным рискам безопасности.

Роль компилятора Solidity заключается в преобразовании кода смарт-контракта в машинный код инструкций Ethereum Virtual Machine (EVM). В отличие от уязвимостей самого EVM, уязвимости компилятора Solidity не влияют напрямую на сеть Ethereum, но могут привести к тому, что сгенерированный код EVM будет не соответствовать ожиданиям разработчика, что может вызвать проблемы с безопасностью смарт-контрактов.

Вот несколько реальных примеров уязвимостей компилятора Solidity:

1. SOL-2016-9 HighOrderByteCleanStorage

Уязвимость существует в более ранних версиях компилятора Solidity (>=0.1.6 <0.4.4). В некоторых случаях компилятор неправильно очищал старшие байты, что приводило к неожиданному изменению значения переменной storage.

2. SOL-2022-4 ВстраиваемаяАссемблернаяПамятьПобочныеЭффекты

Уязвимость существует в компиляторах версий с 0.8.13 по 0.8.15. Из-за неправильной обработки блоков assembly в процессе оптимизации компиляции, это может привести к тому, что операции записи в память будут ошибочно удалены.

3. SOL-2022-6 AbiReencodingHeadOverflowWithStaticArrayCleanup

Уязвимость затрагивает компиляторы версий с 0.5.8 до 0.8.16. При выполнении операции abi.encode над массивом типа calldata некоторые данные могут быть ошибочно очищены, что приводит к изменению соседних данных.

В связи с уязвимостью компилятора Solidity, команда по безопасности блокчейна Cobo предлагает следующие рекомендации:

Для разработчиков:

• Используйте более новую версию компилятора Solidity
• Улучшить тестовые случаи для модулей
• Избегайте использования сложных языковых особенностей, таких как встроенные ассемблеры, многомерные массивы для кодирования и декодирования ABI и т.д.

Для сотрудников безопасности:

• Учитывайте потенциальные риски безопасности, которые могут быть вызваны компилятором при проведении аудита.
• В процессе разработки настоятельно рекомендуется обновить версию компилятора
• Оцените фактическое влияние уязвимости компилятора в зависимости от конкретной ситуации

Некоторые полезные ресурсы:

• Официальный блог предупреждений о безопасности Solidity
• Список ошибок в репозитории Solidity на GitHub
• Список ошибок компилятора для всех версий
• Уведомление об уязвимости компилятора на странице кода контракта Etherscan

Понимание особенностей и влияния уязвимостей компилятора Solidity позволяет разработчикам и специалистам по безопасности более полно оценивать риски безопасности смарт-контрактов и принимать соответствующие меры предосторожности.