OpenZeppelin Contracts の TimelockController の脆弱性

この脆弱性は、攻撃者がTimelockControllerのexecutorロールを悪用することで、契約内の資産を完全に制御できる重大なリスクをもたらします。具体的には、delayを0にリセットすることで、通常は遅延処理が必要な操作を即座に実行できるようになり、不正な資金移動や契約の改ざんが可能になります。特に、executorロールが「open」に設定されている場合、誰でもexecutorロールを使用できるため、攻撃のリスクが大幅に高まります。この脆弱性は、スマートコントラクトのセキュリティを著しく損なう可能性があり、過去の同様の権限昇格攻撃と同様の被害が発生する可能性があります。

Decentralized applications (dApps) and smart contracts relying on @openzeppelin/contracts-upgradeable for timelock functionality are at significant risk. Projects with open executor roles on their timelocks are particularly vulnerable, as anyone can assume the role and exploit the vulnerability. Developers using older versions of the library without proper access controls are also at risk.

• nodejs / smart contracts:

# Check for vulnerable versions in package.json
grep '@openzeppelin/contracts-upgradeable:"[^"]*"' package.json

• nodejs / smart contracts:

# Audit dependencies using npm audit
npm audit

• nodejs / smart contracts:

# Check for specific timelock contract code patterns
grep -r "TimelockController.sol" . | grep -i "delay() = 0"

1. 2021-08-30Disclosure

   disclosure

1. 予約済み2021-08-16
2. 公開日2021-08-30
3. 更新日2026-03-13
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、@openzeppelin/contractsおよび@openzeppelin/contracts-upgradeableを4.3.1以降のバージョンにアップデートすることです。アップデートが一時的にシステムに影響を与える可能性がある場合は、事前にテスト環境で検証を行い、バックアップを取得しておくことを推奨します。WAFやプロキシサーバーの設定変更による緩和策は、この脆弱性に対して直接的な効果は期待できません。脆弱性の影響を軽減するためには、executorロールのアクセス制限を強化し、最小限の権限のみを付与するように設定することが重要です。アップデート後、コントラクトの動作を注意深く監視し、異常なトランザクションがないか確認してください。