JVNDB-2026-008268

Stellarのrs-soroban-sdkにおける不適切な比較に関する脆弱性

soroban-sdkはSorobanコントラクト用のRust SDKです。バージョン22.0.11、23.5.3、および25.3.0以前において、soroban-sdkのBN254およびBLS12-381のFr（スカラー場）型は、フィールドの法rで剰余を取る前の生のU256表現で値を比較していました。このため、一方または両方の値が剰余を取っていない（すなわちr以上の値）場合、数学的に等しいフィールド要素が等しくないと比較される問題が発生しました。この脆弱性は、攻撃者が契約の入力を通じて細工されたFr値を供給し、ホスト側の算術演算を経由せずに直接比較することを可能にします。Frの等価性チェックに基づくセキュリティ上重要なロジックを使用するスマートコントラクトは誤った結果を生じる可能性があります。影響は、対象となるコントラクトがFrの等価比較をどのように使用するかによって異なりますが、ユーザー提供のスカラー値の等価性チェックを行うコントラクトにおいて誤った認可判断や検証の回避を引き起こす可能性があります。この脆弱性はバージョン22.0.11、23.5.3、および25.3.0で修正されています。

Stellar

• rs-soroban-sdk 22.0.11 未満
• rs-soroban-sdk 23.0.0 以上 23.5.3 未満
• rs-soroban-sdk 25.0.0 以上 25.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : `Fr` scalar field equality comparison bypasses modular reduction  Advisory  stellar/rs-soroban-sdk  GitHub

1. 不適切な比較(CWE-697) [その他]

1. CVE-2026-32322

1. National Vulnerability Database (NVD) : CVE-2026-32322

• [2026年03月24日]
    掲載