تحليل ثغرات مترجم Solidity واستراتيجيات التعامل معها

المجمع هو جزء مهم من أنظمة الكمبيوتر الحديثة، دوره هو تحويل لغات البرمجة عالية المستوى إلى تعليمات قابلة للتنفيذ من قبل الكمبيوتر. على الرغم من أن معظم المطورين وموظفي الأمن يركزون بشكل أساسي على أمان كود التطبيقات، إلا أن مشكلات أمان المجمع نفسها لا ينبغي تجاهلها. يمكن أن تؤدي ثغرات المجمع في بعض الحالات إلى مخاطر أمان خطيرة.

وظيفة مترجم Solidity هي تحويل كود العقد الذكي إلى كود تعليمات (EVM) الخاص بآلة Ethereum الافتراضية. على عكس ثغرات EVM نفسها، فإن ثغرات مترجم Solidity لن تؤثر مباشرة على شبكة Ethereum، ولكنها قد تؤدي إلى كود EVM الناتج الذي لا يتماشى مع توقعات المطورين، مما يؤدي إلى مشاكل أمان.

إليك بعض الأمثلة الحقيقية على ثغرات مترجم Solidity:

1. SOL-2016-9 تنظيف التخزين بواسطة بايت عالي الطلب

توجد هذه الثغرة في الإصدارات المبكرة من مجمع Solidity (>=0.1.6 <0.4.4). في بعض الحالات، لم يقم المجمع بتنظيف بايتات عالية بشكل صحيح، مما أدى إلى تعديل غير مقصود لقيمة المتغيرات المخزنة.

2. SOL-2022-4 آثار جانبية في الذاكرة لـ InlineAssembly

تؤثر هذه الثغرة على إصدارات 0.8.13 إلى 0.8.15 من المترجم. بسبب مشكلة في استراتيجيات تحسين المترجم، قد يتم إزالة عمليات الكتابة إلى الذاكرة بشكل غير صحيح، مما يؤدي إلى قيم غير طبيعية في عائدات الدوال.

3. SOL-2022-6 تجاوز سعة رأس إعادة ترميز ABI مع تنظيف المصفوفة الثابتة

توجد هذه الثغرة في إصدارات المترجم من 0.5.8 إلى 0.8.16. عند تشفير مصفوفة من نوع calldata باستخدام ABI، قد يتم تنظيف بعض البيانات بشكل خاطئ، مما يؤدي إلى تعديل البيانات المجاورة.

لمواجهة المخاطر الناتجة عن ثغرات مترجم Solidity، يمكن للمطورين والمهنيين الأمنيين اتخاذ التدابير التالية:

للمطورين:

• استخدم إصدار أحدث من مترجم Solidity
• تحسين حالات اختبار الوحدة، وزيادة تغطية الشيفرة
• تجنب استخدام التجميع الداخلي، والترميز المعقد لـ ABI، وما إلى ذلك من الميزات المتقدمة

بالنسبة للأمن:

• النظر في المخاطر الأمنية التي قد يقدمها المترجم أثناء عملية التدقيق
• دفع ترقية إصدار المترجم في عملية SDL
• إدخال فحص تلقائي لإصدار المترجم في CI/CD

موارد عملية يمكن الرجوع إليها:

• مدونة تنبيهات الأمان الرسمية لـ Solidity
• قائمة الأخطاء في مستودع Solidity على GitHub
• قائمة أخطاء المترجمين لكل إصدار
• توفر صفحة كود العقد على Etherscan تحذيرات من ثغرات في المترجم

بالمجمل، على الرغم من أنه لا داعي للقلق المفرط بشأن ثغرات المترجم، إلا أنه يجب في عملية تطوير وتدقيق العقود الذكية أن نكون مدركين تمامًا لهذا الخطر المحتمل، وأن نتخذ التدابير الوقائية المناسبة.