Besu-opdateringer løser sårbarheder i 5 noder: Hvad operatører skal vide

En »Patch-First«-tilgang til forsvarets fordel

Udviklerne bag den open source-baserede Ethereum-klient Besu har udbedret fem sikkerhedssårbarheder, der blev opdaget af blockchain-sikkerhedsfirmaet Certik. Besu offentliggjorde den 14. august fire detaljerede sikkerhedsadvarsler, der dækkede de fem sårbarheder, som alle blev løst i version 26.7.1, der oprindeligt blev udgivet den 27. juli som en presserende sikkerhedsopdatering.

Forsinkelsen mellem udgivelsen af softwareopdateringen og offentliggørelsen af detaljerne i sikkerhedsmeddelelsen var bevidst, ifølge sikkerhedsledelsen.

»Effektiviteten ligger i rækkefølgen, snarere end i at udskyde offentliggørelsen for dens egen skyld,« sagde Jialiang Chang, direktør for sikkerhedsingeniørarbejde og seniorrevisionspartner hos Certik. »Besu gjorde den opdaterede udgave tilgængelig i slutningen af juli og markerede den tydeligt som en løsning på sikkerhedssårbarhederne med en opfordring til at opgradere så hurtigt som muligt.«

Chang bemærkede, at modellen »opdatering først, detaljer senere« giver netværksforsvarere en afgørende fordel i forhold til potentielle udnyttende.

»Denne tilgang giver forsvarerne et begrænset forspring, inden de præcise angrebsmekanismer bliver bredt tilgængelige,« forklarede Chang. »Nodeoperatører kan bruge denne periode til at identificere berørte installationer, vurdere, hvilke grænseflader og konsensusveje der er udsat, teste udgivelsen i et testmiljø, koordinere opgraderinger på tværs af validatorer eller konsortiedeltagere samt forberede procedurer for tilbageførsel og overvågning.«

Ifølge Chang er dette forberedelsesvindue særligt afgørende for institutionelle eller tilladelsesbaserede blockchain-netværk, hvor opgraderinger ofte kræver formelle protokoller for ændringshåndtering og koordinering på tværs af organisationer. Offentliggørelsesforsinkelsen reducerer de umiddelbare »N-day«-udnyttelsesrisici, samtidig med at den er kort nok til at opretholde gennemsigtighed i fællesskabet.

Sårbarhederne blev oprindeligt afdækket under selvstændig forskning udført af Certik ved hjælp af virksomhedens "Chain Scan"-metodik til adversarial-test. Forskerne arbejdede på et privat testnetværk med flere noder uden ekstern klientfinansiering og indsatte kontrollerede fejl på tværs af peer-to-peer-, HTTP RPC-, WebSocket RPC- og konsensusrelaterede grænseflader.

Resultaterne, som Certik har klassificeret efter alvorlighed fra mindre til større, omfattede svagheder i behandlingen af blokmeddelelser, buffering af konsensusforslag for fremtidige højder, begrænsninger for WebSocket-abonnementer og oprettelse af JSON-RPC-filtre. Hvis fejlene ikke udbedres, kan de give en angriber mulighed for at udtømme nodens hukommelse eller trådkapacitet, hvilket truer nodens tilgængelighed og konsensusbehandlingen.

Mangler i de nuværende testmodeller for klienter

Certik forsynede Besu-teamet fortroligt med reproducerbare proof-of-concept-testrammer, hvilket gjorde det muligt for vedligeholdere at evaluere og løse sårbarhederne fortroligt inden udgivelsen. I sine udgivelsesnoter til version 26.7.1 takkede Besu både Certik og Ethereum Foundation Security for deres ansvarlige afsløringer.

Med henblik på det bredere landskab inden for offentlig blockchain-infrastruktur fortalte Chang til Bitcoin.com News, at open-source-fællesskabet opererer i et hybridt sikkerhedsmiljø.

»Økosystemet bevæger sig tydeligt i retning af mere formaliseret sikkerhedstestning,« sagde Chang og pegede på eksisterende praksisser såsom differentiel fuzzing, simuleringer på netværksniveau, private angrebsnetværk, bug bounties og devp2p-fuzzing-rammer på tværs af klienter.

Chang advarede dog om, at testdækningen fortsat er ujævn på tværs af branchen.

»Test af protokoloverensstemmelse og tilstandsovergange er ofte mere modne end kontinuerlig test for ressourceudtømning, asynkrone race conditions, ondsindet peer-adfærd, langvarig forringelse, fejl i oprydning og implementeringsspecifikke konfigurationer,« bemærkede Chang. »Disse fejl kan i første omgang give den korrekte protokoludgang, samtidig med at de stadig gør det muligt for en relativt billig aktør at forårsage uforholdsmæssigt stort forbrug af hukommelse, tråde, diskplads eller netværk.«

Da test udført af vedligeholdere ikke kan opfange alle potentielle angrebsvektorer, understregede Chang, at tredjepartsforskning fortsat er afgørende for at udfordre antagelser uden for den rutinemæssige udvikling.

»Den mere modne model er kontinuerlig og kumulativ: vedligeholderens CI og fuzzing, adversarial test på flere noder, periodisk uafhængig forskning samt en permanent regressionstest eller et angrebsscenarie, der tilføjes for hver bekræftet sårbarhed,« sagde Chang og bemærkede, at Certik er i gang med at designe sin Chain Scan-platform til at understøtte denne model.