OpenZeppelin Contracts 中的 TimelockController 漏洞

该漏洞的影响极其严重，因为它允许攻击者完全控制受影响的智能合约。攻击者可以利用执行者角色立即绕过预定的延迟，从而可以立即执行任何操作，包括转移合约中的所有资金。如果执行者角色被设置为“开放”，则任何人都可能使用该角色，从而使时锁面临被攻击者的接管风险。这种控制权可能导致严重的财务损失和对智能合约系统的破坏。攻击者可以利用此漏洞窃取资金、篡改数据或完全控制合约的功能。

Decentralized applications (dApps) and smart contracts relying on @openzeppelin/contracts-upgradeable for timelock functionality are at significant risk. Projects with open executor roles on their timelocks are particularly vulnerable, as anyone can assume the role and exploit the vulnerability. Developers using older versions of the library without proper access controls are also at risk.

• nodejs / smart contracts:

# Check for vulnerable versions in package.json
grep '@openzeppelin/contracts-upgradeable:"[^"]*"' package.json

• nodejs / smart contracts:

# Audit dependencies using npm audit
npm audit

• nodejs / smart contracts:

# Check for specific timelock contract code patterns
grep -r "TimelockController.sol" . | grep -i "delay() = 0"

1. 2021-08-30Disclosure

   disclosure

1. 已保留2021-08-16
2. 发布日期2021-08-30
3. 修改日期2026-03-13
4. EPSS 更新日期2026-04-02

修复此漏洞的关键是升级到包含修复程序的最新版本。建议立即升级到 @openzeppelin/contracts 和 @openzeppelin/contracts-upgradeable 的 4.3.1 版本。如果无法立即升级，可以考虑临时缓解措施，例如限制执行者角色的访问权限，或者实施额外的安全检查以防止未经授权的交易。在升级后，请务必验证合约是否正常运行，并确认漏洞已成功修复。可以通过检查时锁的延迟设置和执行者角色的权限来验证。