一、 漏洞 CVE-2024-45040 基础信息
漏洞标题
在Groth16的实现中，gnark对私人证词的承诺破坏了零知识性质
来源：AIGC 神龙大模型
漏洞描述信息
N/A
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：AIGC 神龙大模型
漏洞类别
使用不充分的随机数
来源：AIGC 神龙大模型
漏洞标题
gnark's commitments to private witnesses in Groth16 as implemented break zero-knowledge property
来源：美国国家漏洞数据库 NVD
漏洞描述信息
gnark is a fast zk-SNARK library that offers a high-level API to design circuits. Prior to version 0.11.0, commitments to private witnesses in Groth16 as implemented break the zero-knowledge property. The vulnerability affects only Groth16 proofs with commitments. Notably, PLONK proofs are not affected. The vulnerability affects the zero-knowledge property of the proofs - in case the witness (secret or internal) values are small, then the attacker may be able to enumerate all possible choices to deduce the actual value. If the possible choices for the variables to be committed is large or there are many values committed, then it would be computationally infeasible to enumerate all valid choices. It doesn't affect the completeness/soundness of the proofs. The vulnerability has been fixed in version 0.11.0. The patch to fix the issue is to add additional randomized value to the list of committed value at proving time to mask the rest of the values which were committed. As a workaround, the user can manually commit to a randomized value.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
信息暴露
来源：美国国家漏洞数据库 NVD
漏洞标题
gnark 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
gnark是Consensys开源的一个快速的 zk-SNARK 库。供高级 API 来设计电路。 gnark 0.11.0之前版本存在安全漏洞，该漏洞源于Groth16证明中对私有见证者的承诺实现破坏了零知识属性，可能允许攻击者在见证值较小时枚举所有可能的选择以推断实际值。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-45040 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-45040 的情报信息

  • 标题： feat add random mask to groth16 commitment by Tabaie · Pull Request #1245 · Consensys/gnark · GitHub -- 🔗来源链接

    标签： x_refsource_MISC

    神龙速读
    feat add random mask to groth16 commitment by Tabaie · Pull Request #1245 · Consensys/gnark · GitHub

  • 标题： Commitments to private witnesses in Groth16 as implemented break zero-knowledge property · Advisory · Consensys/gnark · GitHub -- 🔗来源链接

    标签： x_refsource_CONFIRM

    神龙速读
    Commitments to private witnesses in Groth16 as implemented break zero-knowledge property · Advisory · Consensys/gnark · GitHub

  • 标题： feat add random mask to groth16 commitment (#1245) · Consensys/gnark@afda68a · GitHub -- 🔗来源链接

    标签： x_refsource_MISC

    feat add random mask to groth16 commitment (#1245) · Consensys/gnark@afda68a · GitHub
  • https://nvd.nist.gov/vuln/detail/CVE-2024-45040