Solidity derleyici açığı derinlik analizi

Derinlik, modern bilgisayar sistemlerinin temel bileşenlerinden biridir ve temel işlevi, yüksek seviyeli programlama dili kaynak kodunu bilgisayarın alt katmanlarında çalıştırılabilir talimat koduna dönüştürmektir. Çoğu geliştirici ve güvenlik uzmanı genellikle uygulama kodlarının güvenliğine odaklansa da, derleyicinin kendisinin güvenliği genellikle göz ardı edilmektedir. Aslında, bir bilgisayar programı olarak derleyicinin de güvenlik açıkları olabilir ve bu açıklar bazı durumlarda ciddi güvenlik riskleri oluşturabilir.

Örneğin, bir tarayıcı JavaScript kodunu işlerken, JavaScript analiz motorundaki bir güvenlik açığı, kullanıcıların kötü niyetli web sitelerine erişmesi durumunda uzaktan kod yürütme saldırısına maruz kalmasına neden olabilir ve bu da saldırganın kurbanın tarayıcısını veya hatta işletim sistemini kontrol etmesine yol açabilir. Ayrıca, araştırmalar Clang C++ derleyicisindeki bir hatanın da uzaktan kod yürütme gibi ciddi sonuçlara yol açabileceğini göstermektedir.

Solidity derleyicisinde de güvenlik açıkları bulunmaktadır. Solidity geliştirme ekibi tarafından yayınlanan güvenlik uyarısına göre, birçok versiyonunda güvenlik riskleri bulunmaktadır. Solidity derleyicisinin işlevi, akıllı sözleşme kodunu Ethereum Sanal Makinesi (EVM) talimat koduna dönüştürmektir; bu talimat kodları nihayetinde işlem yoluyla Ethereum'a yüklenir ve EVM tarafından yürütülür.

Dikkat edilmesi gereken husus, Solidity derleyici açıklarının EVM'nin kendisindeki açıklarla farklı olduğudur. EVM açıkları, sanal makinenin talimatları yürütürken ortaya çıkan güvenlik sorunlarını ifade eder ve bu, tüm Ethereum ağını etkileyebilir. Öte yandan, Solidity derleyici açıkları, Solidity kodunun EVM koduna dönüştürülmesi sırasında ortaya çıkan sorunlardır ve doğrudan Ethereum ağını etkilemez.

Solidity derleyici açıkları, üretilen EVM kodunun geliştiricinin beklediğiyle tutarsız olmasına neden olabilir. Ethereum üzerindeki akıllı sözleşmeler genellikle kullanıcıların kripto para varlıklarını içerdiğinden, derleyiciden kaynaklanan herhangi bir hata, kullanıcı varlıklarının kaybına neden olabilir ve sonuçları ciddi olabilir. Geliştiriciler ve sözleşme denetçileri genellikle sözleşme mantığı uygulamasına ve yaygın güvenlik sorunlarına odaklanırken, derleyici açıkları yalnızca kaynak kodu denetimi ile tespit edilmesi zor olup, belirli derleyici sürümleri ve kod kalıpları ile birlikte analiz edilmesi gerekir.

Aşağıda birkaç gerçek Solidity derleyici açığı örneği verilmiştir:

1. SOL-2016-9 YüksekDüzenBaytTemizlemeDepolama

Bu güvenlik açığı, daha eski sürüm Solidity derleyicisinde (>=0.1.6 <0.4.4) bulunmaktadır. Bazı durumlarda, storage değişkeninin değeri yanlışlıkla değiştirilebilir, bu da işlevin döndürdüğü değerin beklenenle uyuşmamasına yol açar. Bu tutarsızlık, yetki doğrulama veya varlık muhasebesi gibi senaryolarda ciddi sonuçlara neden olabilir.

2. SOL-2022-4 InlineAssemblyMemoryYanEtkileri

Bu güvenlik açığı, 0.8.13 ile 0.8.15 sürümleri arasındaki derleyicide mevcuttur. Derleyici optimizasyon stratejileri nedeniyle, bazı inline assembly kodlarındaki bellek değişiklikleri yanlışlıkla kaldırılabilir ve bu da fonksiyonun dönüş değerinin hatalı olmasına yol açabilir.

3. SOL-2022-6 AbiYenidenKodlamaBaşOverflowWithStaticArrayCleanup

Bu güvenlik açığı, 0.5.8 ile 0.8.16 sürümleri arasındaki derleyicileri etkilemektedir. calldata türündeki bir dizi için abi.encode işlemi yapılırken, bazı verilerin yanlışlıkla temizlenmesi mümkündür, bu da bitişik verilerin değiştirilmesine neden olarak kodlama ve kod çözme sonrası verilerin tutarsız olmasına yol açar.

Solidity derleyici açıkları için, Cobo blok zinciri güvenlik ekibi aşağıdaki önerileri sunmaktadır:

Geliştiricilere:

• Daha yeni bir Solidity derleyici sürümü kullanın
• Birim test vakalarını geliştirerek kod kapsamını artırmak
• Satır içi montaj, karmaşık abi kodlama/çözme gibi işlemlerden kaçının, yeni özellikler ve deneysel işlevleri dikkatli bir şekilde kullanın.

Güvenlik personeline:

• Denetim sırasında derleyicinin getirebileceği güvenlik risklerini dikkate alın
• Geliştirici ekibine derleyici sürümünü zamanında güncellemeleri önerilir.
• CI/CD sürecinde derleyici versiyonunun otomatik kontrolünü dahil etme
• Belirli projelere göre derleyici açıklarının gerçek güvenlik etkisini değerlendirin

Bazı pratik kaynaklar:

• Solidity resmi blogunun güvenlik uyarısı
• Solidity GitHub deposunun hata listesi
• Her sürüm derleyici hata listesi
• Etherscan sözleşme kodu sayfasındaki güvenlik açığı uyarısı

Solidity derleyici açıklarının özelliklerini ve etkilerini anlamak suretiyle, geliştiriciler ve güvenlik uzmanları akıllı sözleşmelerin güvenlik risklerini daha kapsamlı bir şekilde değerlendirebilir ve potansiyel tehditleri azaltmak için gerekli önlemleri alabilirler.