// For flags

CVE-2023-38698

.eth registrar controller can shorten the duration of registered names

Severity Score

6.5
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

1
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

Track*
*SSVC
Descriptions

Ethereum Name Service (ENS) is a distributed, open, and extensible naming system based on the Ethereum blockchain. According to the documentation, controllers are allowed to register new domains and extend the expiry of existing domains, but they cannot change the ownership or reduce the expiration time of existing domains. However, a preliminary analysis suggests that an attacker-controlled controller may be able to reduce the expiration time of existing domains due to an integer overflow in the renew function. The vulnerability resides `@ensdomains/ens-contracts` prior to version 0.0.22.

If successfully exploited, this vulnerability would enable attackers to force the expiration of any ENS record, ultimately allowing them to claim the affected domains for themselves. Currently, it would require a malicious DAO to exploit it. Nevertheless, any vulnerability present in the controllers could potentially render this issue exploitable in the future. An additional concern is the possibility of renewal discounts. Should ENS decide to implement a system that offers unlimited .eth domains for a fixed fee in the future, the vulnerability could become exploitable by any user due to the reduced attack cost.

Version 0.0.22 contains a patch for this issue. As long as registration cost remains linear or superlinear based on registration duration, or limited to a reasonable maximum (eg, 1 million years), this vulnerability could only be exploited by a malicious DAO. The interim workaround is thus to take no action.

Ethereum Name Service (ENS) es un sistema de nombres distribuido, abierto y extensible basado en la blockchain de Ethereum. Según la documentación, los controladores pueden registrar nuevos dominios y ampliar la caducidad de los existentes, pero no pueden cambiar la titularidad ni reducir el tiempo de caducidad de los dominios existentes. Sin embargo, un análisis preliminar sugiere que un controlador controlado por un atacante puede ser capaz de reducir el tiempo de expiración de los dominios existentes debido a un desbordamiento de enteros en la función renew. La vulnerabilidad reside en `@ensdomains/ens-contracts` anterior a la versión 0.0.22.

Si se explota con éxito, esta vulnerabilidad permitiría a los atacantes forzar la expiración de cualquier registro ENS, permitiéndoles en última instancia reclamar para sí los dominios afectados. Actualmente, se requeriría un DAO malicioso para explotarla. No obstante, cualquier vulnerabilidad presente en los controladores podría hacer que este problema pudiera explotarse en el futuro. Una preocupación adicional es la posibilidad de descuentos en la renovación. Si ENS decide implementar un sistema que ofrezca dominios .eth ilimitados por una tarifa fija en el futuro, la vulnerabilidad podría ser explotable por cualquier usuario debido al reducido coste de ataque.

La versión 0.0.22 contiene un parche para este problema. Mientras el coste de registro siga siendo lineal o superlineal en función de la duración del registro, o limitado a un máximo razonable (por ejemplo, 1 millón de años), esta vulnerabilidad sólo podría ser explotada por una DAO maliciosa. Por lo tanto, la solución provisional es no tomar ninguna medida.

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
Low
Privileges Required
Low
User Interaction
None
Scope
Unchanged
Confidentiality
None
Integrity
High
Availability
None
Attack Vector
Network
Attack Complexity
Low
Privileges Required
High
User Interaction
None
Scope
Unchanged
Confidentiality
None
Integrity
High
Availability
None
* Common Vulnerability Scoring System
SSVC
  • Decision:Track*
Exploitation
Poc
Automatable
No
Tech. Impact
Partial
* Organization's Worst-case Scenario
Timeline
  • 2023-07-24 CVE Reserved
  • 2023-08-04 CVE Published
  • 2024-08-10 EPSS Updated
  • 2024-10-03 CVE Updated
  • 2024-10-03 First Exploit
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
CWE
  • CWE-190: Integer Overflow or Wraparound
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Ens.domains
Search vendor "Ens.domains"
 Ethereum Name Service
Search vendor "Ens.domains" for product "Ethereum Name Service"
 < 0.0.22
Search vendor "Ens.domains" for product "Ethereum Name Service" and version " < 0.0.22"
-
Affected