تحليل ثغرات مترجم Solidity واستراتيجيات التعامل معها

المترجم هو أحد المكونات الأساسية في أنظمة الكمبيوتر الحديثة، وظيفته هي تحويل كود مصدر لغة البرمجة عالية المستوى إلى تعليمات قابلة للتنفيذ من قبل الكمبيوتر. مثل كود تطبيقات البرامج، قد تحتوي المترجمات نفسها أيضًا على ثغرات أمنية، وفي بعض الحالات، قد تشكل مخاطر أمنية خطيرة.

تتمثل وظيفة مترجم Solidity في تحويل كود العقد الذكي إلى كود تعليمات (EVM) لآلة Ethereum الافتراضية. على عكس ثغرات EVM نفسها، فإن ثغرات مترجم Solidity لا تؤثر مباشرة على شبكة Ethereum، ولكنها قد تؤدي إلى عدم توافق كود EVM الناتج مع توقعات المطورين، مما قد يتسبب في مشاكل أمنية للعقود الذكية.

إليك بعض الأمثلة الحقيقية على ثغرات مترجم Solidity:

1. SOL-2016-9 تخزين نظيف بايت عالي الطلب

توجد هذه الثغرة في إصدارات سابقة من مترجم Solidity ( >= 0.1.6 < 0.4.4). في بعض الحالات، لم يقم المترجم بتنظيف البايتات العليا بشكل صحيح، مما أدى إلى تعديل غير مقصود لقيمة المتغيرات التخزينية.

2. SOL-2022-4 آثار جانبية للذاكرة في تجميع الأسطر

توجد هذه الثغرة في إصدارات 0.8.13 إلى 0.8.15 من المترجم. بسبب المعالجة الخاطئة لكتل assembly أثناء عملية تحسين المترجم، قد يؤدي ذلك إلى إزالة عمليات الكتابة في الذاكرة بشكل خاطئ.

3. SOL-2022-6 AbiReencodingHeadOverflowWithStaticArrayCleanup

تؤثر هذه الثغرة على إصدارات المترجم من 0.5.8 إلى 0.8.16. عند إجراء عملية abi.encode على مصفوفة من نوع calldata، قد يتم تنظيف بعض البيانات بشكل خاطئ، مما يؤدي إلى تعديل بيانات مجاورة.

فيما يتعلق بثغرات مترجم Solidity، قدم فريق أمان بلوكتشين Cobo الاقتراحات التالية:

إلى المطورين:

• استخدم إصدار أحدث من مترجم Solidity
• تحسين حالات اختبار الوحدة
• تجنب استخدام ميزات اللغة المعقدة مثل التجميع المضمن، ترميز وفك ترميز ABI للمصفوفات متعددة الأبعاد، إلخ.

إلى موظفي الأمان:

• النظر في مخاطر الأمان المحتملة التي قد يقدمها المترجم أثناء التدقيق
• حث على ترقية إصدار المترجم في عملية التطوير
• تقييم التأثير الأمني الفعلي لثغرات المترجم بناءً على الظروف المحددة

بعض الموارد المفيدة:

• مدونة التحذيرات الأمنية الرسمية لSolidity
• قائمة الأخطاء في مستودع Solidity على GitHub
• قائمة أخطاء المترجمات في الإصدارات المختلفة
• تحذير من ثغرة في مترجم صفحة كود العقد على Etherscan

من خلال فهم خصائص وتأثير ثغرات مترجم Solidity، يمكن للمطورين وموظفي الأمان تقييم مخاطر أمان العقود الذكية بشكل أكثر شمولاً واتخاذ التدابير الوقائية المناسبة.