Validatiefouten in mppx-fee-payer maken uitputting van gaskosten mogelijk (CVE-2026-63628, CVE-2026-63627)

Wat is er gebeurd

Er zijn twee afzonderlijke maar gerelateerde CVE's gepubliceerd voor mppx. CVE-2026-63628 beschrijft een fout in het fee-payer-cosigning-pad (src/tempo/internal/fee-payer.ts), waarbij een door de client aangeleverde access_list uit een FeePayerEnvelope werd gekopieerd zonder de lengte of inhoud ervan te valideren. In een gedemonstreerd geval bleef een verzonnen access list met 180 items binnen de gaslimiet van 500.000 uit het beleid, de header-limiet van 16 KB en het RPC-simulatiebudget, terwijl de door de server betaalde vergoeding ongeveer 9,4 keer hoger uitviel. CVE-2026-63627 beschrijft een gerelateerde fout in FeePayerPolicy, eveneens in fee-payer.ts, waarbij decodeFunctionData werd gebruikt om door fees gesponsorde calldata te valideren, maar waarbij overtollige bytes aan het einde niet werden geweigerd. Een client kon niet-nul opvulling toevoegen die de intrinsieke calldata-gas verhoogde, terwijl gas_limit en max_fee_per_gas binnen de beleidslimieten bleven; de header-limiet van 16 KB begrensde de gedemonstreerde opvulling tot ongeveer 5.500 bytes en resulteerde in ongeveer vijf keer de normale transactiekosten.

Technische oorzaak

Beide problemen komen voort uit onjuiste invoervalidatie (CWE-20) in de fee-payer-cosigning-logica van mppx. Bij CVE-2026-63628 werd het access_list-veld uit een door de client aangeleverde FeePayerEnvelope geaccepteerd en gekopieerd zonder controle op lengte of inhoud, waardoor adres-only items konden worden toegevoegd die intrinsieke EIP-2930-gas verbruiken, ook al worden de vermelde adressen nooit daadwerkelijk gebruikt. Bij CVE-2026-63627 decodeerde FeePayerPolicy door fees gesponsorde calldata met decodeFunctionData, maar weigerde het geen overtollige bytes die na de geldig gecodeerde data werden toegevoegd, waardoor extra calldata-gas in rekening kon worden gebracht zonder de ingestelde gas_limit- of max_fee_per_gas-limieten te overschrijden.

Waarom dit belangrijk is

In beide gevallen betaalt de door de server beheerde fee-payer wallet uiteindelijk aanzienlijk meer transactiekosten dan de gesponsorde transactie feitelijk vereist, terwijl dit binnen de ingestelde beleidslimieten blijft (gaslimiet, headergrootte en simulatiebudget) die bedoeld waren om de kosten voor de sponsor te begrenzen. Dit creëert een mechanisme voor financiële uitputting: een client kan herhaaldelijk opgestelde verzoeken indienen om de door de fee-payer wallet betaalde kosten op te drijven, zonder de bestaande beveiligingen te activeren.

Wie wordt getroffen

Elke mppx-implementatie die een server-side fee-payer wallet gebruikt om transactiekosten voor clients te co-signeren en te sponsoren, met versies ouder dan 0.8.2, wordt getroffen door beide problemen.

Getroffen versies

CVE-2026-63628 treft mppx-versies vanaf 0 tot maar niet inclusief 0.8.2. CVE-2026-63627 treft mppx-versies vanaf 0 tot maar niet inclusief 0.8.1. Beide problemen zijn verholpen in versie 0.8.2.

Oplossingen en mitigatie

Beide kwetsbaarheden zijn verholpen in mppx-versie 0.8.2. Het faktenpakket specificeert geen exacte codewijzigingen van de fix, anders dan dat de beschreven validatietekortkomingen zijn opgelost.

Aanbevolen actie

Beheerders die mppx met een server-side fee-payer wallet draaien, wordt aangeraden zo snel mogelijk te upgraden naar versie 0.8.2. Er is in de beschikbare feiten geen aanwijzing voor een bruikbare tijdelijke oplossing anders dan upgraden.