CVE-2021-41272

Besu es un cliente de Ethereum escrito en Java. A partir de la versión 21.10.0, los cambios en la implementación de las operaciones SHL, SHR y SAR resultaron en la introducción de un error de coerción de tipo con signo en valores que representan valores negativos para enteros con signo de 32 bits. Los contratos inteligentes que piden desplazamientos entre aproximadamente 2.000 millones y 4.000 millones de bits (valores sin sentido pero válidos para la operación) fallarán en la ejecución y, por tanto, en la comprobación. En las redes en las que las versiones vulnerables estén minando con otros clientes o versiones no vulnerables será producida una bifurcación y las transacciones correspondientes no serán incluidas en la bifurcación. En redes donde las versiones vulnerables no están minando (como Rinkeby) no será producida ninguna bifurcación y los nodos comprobadores dejarán de aceptar bloques. En las redes en las que sólo minan las versiones vulnerables, la transacción correspondiente no será incluida en ningún bloque. Cuando la red añada una versión no vulnerable la red actuará como en el primer caso. Besu versión 21.10.2 contiene un parche para este problema. Besu versión 21.7.4 no es vulnerable y los clientes pueden volver a esa versión. Se presenta una solución disponible: Una vez que una transacción con las operaciones de cambio pertinentes es incluida en la cadena canónica, la única solución es asegurarse de que todos los nodos están en versiones no vulnerables