Besu behebt Schwachstellen in 5 Knoten: Was Betreiber wissen müssen

Ein „Patch-First“-Ansatz für den Verteidigungsvorteil

Die Entwickler des Open-Source-Ethereum-Clients Besu haben fünf Sicherheitslücken behoben, die von der Blockchain-Sicherheitsfirma Certik entdeckt wurden. Besu veröffentlichte am 14. August vier detaillierte Sicherheitshinweise zu den fünf Schwachstellen, die alle in Version 26.7.1 behoben wurden, die ursprünglich am 27. Juli als dringendes Sicherheitsupdate veröffentlicht worden war.

Die Verzögerung zwischen der Veröffentlichung des Software-Patches und der Veröffentlichung der Details zu den Sicherheitshinweisen war laut der Sicherheitsleitung beabsichtigt. „Die Wirksamkeit ergibt sich aus der Abfolge der Schritte und nicht aus einer Verzögerung der Offenlegung um ihrer selbst willen“, sagte Jialiang Chang, Director of Security Engineering und Senior Audit Partner bei Certik. „Besu hat die gepatchte Version Ende Juli zur Verfügung gestellt und deutlich darauf hingewiesen, dass damit Sicherheitslücken behoben wurden, verbunden mit der Anweisung, so schnell wie möglich ein Upgrade durchzuführen.“ Chang merkte an, dass das Modell „zuerst der Patch, dann die Details“ Netzwerkverteidigern einen entscheidenden Vorteil gegenüber potenziellen Angreifern verschafft.

„Dieser Ansatz verschafft den Verteidigern einen begrenzten Vorsprung, bevor die genauen Angriffsmechanismen allgemein bekannt werden“, erklärte Chang. „Knotenbetreiber können diese Zeitspanne nutzen, um betroffene Bereitstellungen zu identifizieren, zu bewerten, welche Schnittstellen und Konsenspfade exponiert sind, die Version in einer Staging-Umgebung zu testen, Upgrades unter den Validatoren oder Konsortiumsmitgliedern zu koordinieren sowie Rollback- und Überwachungsverfahren vorzubereiten.“

Laut Chang ist dieses Vorbereitungsfenster besonders wichtig für institutionelle oder genehmigungsbasierte Blockchain-Netzwerke, in denen Upgrades oft formelle Change-Management-Protokolle und organisationsübergreifende Koordination erfordern. Die Offenlegungslücke reduziert unmittelbare „N-Day“-Ausnutzungsrisiken und ist gleichzeitig kurz genug, um die Transparenz gegenüber der Community zu wahren.

Die Schwachstellen wurden ursprünglich im Rahmen einer von Certik eigenständig durchgeführten Untersuchung mithilfe seiner „Chain Scan“-Methodik für adversarische Tests aufgedeckt. Auf einem privaten Testnetzwerk mit mehreren Knoten, das ohne externe Kundenfinanzierung betrieben wurde, injizierten die Forscher kontrollierte Fehler in Peer-to-Peer-, HTTP-RPC-, WebSocket-RPC- und konsensbezogene Schnittstellen.

Zu den von Certik nach Schweregrad von gering bis schwer eingestuften Befunden gehörten Schwachstellen bei der Verarbeitung von Blockankündigungen, beim Puffern von Konsensvorschlägen für zukünftige Blöcke, bei den WebSocket-Abonnementgrenzen und bei der Erstellung von JSON-RPC-Filtern. Werden diese Schwachstellen nicht behoben, könnten sie es einem Angreifer ermöglichen, den Speicher oder die Thread-Kapazität eines Knotens vollständig auszuschöpfen, was die Verfügbarkeit des Knotens und die Konsensverarbeitung gefährden würde.

Lücken in aktuellen Client-Testmodellen

Certik stellte dem Besu-Team vertraulich reproduzierbare Proof-of-Concept-Testumgebungen zur Verfügung, sodass die Entwickler die Schwachstellen vor der Veröffentlichung vertraulich bewerten und beheben konnten. In den Release-Hinweisen zur Version 26.7.1 würdigte Besu sowohl Certik als auch die Ethereum Foundation Security für ihre verantwortungsvolle Offenlegung.

Mit Blick auf das breitere Spektrum der öffentlichen Blockchain-Infrastruktur erklärte Chang gegenüber Bitcoin.com News, dass die Open-Source-Community in einer hybriden Sicherheitsumgebung agiere.

„Das Ökosystem bewegt sich eindeutig in Richtung formalisierterer Sicherheitstests“, sagte Chang und verwies auf bestehende Praktiken wie Differential-Fuzzing, Simulationen auf Netzwerkebene, private Angriffsnetzwerke, Bug-Bounties und clientübergreifende Devp2p-Fuzzing-Frameworks.

Chang warnte jedoch, dass die Testabdeckung branchenweit nach wie vor uneinheitlich sei. „Tests zur Protokollkonformität und zum Zustandsübergang sind oft ausgereifter als kontinuierliche Tests auf Ressourcenerschöpfung, asynchrone Race-Conditions, böswilliges Peer-Verhalten, langfristige Leistungsminderung, Fehler bei der Bereinigung und bereitstellungsspezifische Konfigurationen“, merkte Chang an. „Diese Fehler können zunächst die korrekte Protokollausgabe erzeugen, während sie es einem Akteur mit relativ geringem Aufwand dennoch ermöglichen, einen unverhältnismäßig hohen Speicher-, Thread-, Festplatten- oder Netzwerkverbrauch zu verursachen.“ Da Tests durch die Projektbetreuer nicht jeden potenziellen Angriffsvektor abdecken können, betonte Chang, dass Forschung durch Dritte nach wie vor unerlässlich ist, um Annahmen außerhalb der routinemäßigen Entwicklung zu hinterfragen.

„Das ausgereiftere Modell ist kontinuierlich und kumulativ: CI und Fuzzing durch die Betreuer, adversarische Tests mit mehreren Knoten, regelmäßige unabhängige Forschung sowie ein permanenter Regressionstest oder ein Angriffsszenario, das für jede bestätigte Schwachstelle hinzugefügt wird“, sagte Chang und wies darauf hin, dass Certik seine Chain-Scan-Plattform so konzipiert, dass sie dieses Modell unterstützt.