Besu corrige cinq vulnérabilités de nœuds : ce que les opérateurs doivent savoir

Une approche « Patch-First » pour donner l'avantage aux défenseurs

Les développeurs du client Ethereum open source Besu ont corrigé cinq failles de sécurité découvertes par la société de sécurité blockchain Certik. Besu a publié le 14 août quatre avis de sécurité détaillés couvrant ces cinq failles, qui ont toutes été corrigées dans la version 26.7.1, initialement publiée le 27 juillet sous forme de mise à jour de sécurité urgente.

Le délai entre la publication du correctif logiciel et celle des détails de l’avis de sécurité était intentionnel, selon les responsables de la sécurité. « L’efficacité réside dans l’enchaînement des étapes, plutôt que dans le simple fait de retarder la divulgation », a déclaré Jialiang Chang, directeur de l’ingénierie de sécurité et associé senior en audit chez Certik. « Besu a mis à disposition la version corrigée fin juillet et l’a clairement identifiée comme corrigeant des failles de sécurité, en recommandant de procéder à la mise à jour dès que possible. » M. Chang a souligné que le modèle « correctif d’abord, détails ensuite » confère aux défenseurs du réseau un avantage crucial sur les exploiteurs potentiels.

« Cette approche offre aux défenseurs une longueur d’avance limitée avant que les mécanismes précis d’attaque ne soient largement diffusés », a expliqué M. Chang. « Les opérateurs de nœuds peuvent mettre à profit cette période pour identifier les déploiements affectés, évaluer quelles interfaces et quels chemins de consensus sont exposés, tester la version en environnement de préproduction, coordonner les mises à niveau entre les validateurs ou les participants au consortium, et préparer les procédures de retour en arrière et de surveillance. »

Selon M. Chang, cette période de préparation est particulièrement cruciale pour les réseaux de blockchain institutionnels ou autorisés, où les mises à niveau nécessitent souvent des protocoles formels de gestion du changement et une coordination interorganisationnelle. Ce délai de divulgation réduit les risques immédiats d’exploitation de type « N-day » tout en restant suffisamment court pour préserver la transparence vis-à-vis de la communauté.

Ces vulnérabilités ont été initialement découvertes lors de recherches menées de manière autonome par Certik à l’aide de sa méthodologie de tests adversariaux « Chain Scan ». Travaillant sur un réseau de test privé à plusieurs nœuds, sans financement externe de la part de clients, les chercheurs ont injecté des failles contrôlées dans les interfaces peer-to-peer, HTTP RPC, WebSocket RPC et celles liées au consensus.

Les résultats, classés par Certik selon leur gravité (de mineure à majeure), comprenaient des faiblesses dans le traitement des annonces de blocs, la mise en mémoire tampon des propositions de consensus pour les hauteurs futures, les limites d’abonnement WebSocket et la création de filtres JSON-RPC. Si elles ne sont pas corrigées, ces failles pourraient permettre à un attaquant d’épuiser la mémoire ou la capacité des threads d’un nœud, menaçant ainsi la disponibilité du nœud et le traitement du consensus.

Lacunes des modèles actuels de test des clients

Certik a fourni en privé à l’équipe Besu des harnais de test de preuve de concept reproductibles, permettant aux responsables de la maintenance d’évaluer et de résoudre les vulnérabilités en toute confidentialité avant la publication. Dans les notes de mise à jour de la version 26.7.1, Besu a remercié Certik et Ethereum Foundation Security pour leurs divulgations responsables.

Abordant le contexte plus large de l’infrastructure des blockchains publiques, Chang a déclaré à Bitcoin.com News que la communauté open source évolue dans un environnement de sécurité hybride.

« L’écosystème s’oriente clairement vers des tests de sécurité plus formalisés », a déclaré Chang, en citant des pratiques existantes telles que le fuzzing différentiel, les simulations au niveau du réseau, les réseaux d’attaque privés, les programmes de prime aux bogues et les frameworks de fuzzing devp2p inter-clients.

Cependant, M. Chang a averti que la couverture des tests restait inégale au sein du secteur. « Les tests de conformité aux protocoles et de transition d’état sont souvent plus aboutis que les tests continus portant sur l’épuisement des ressources, les conditions de concurrence asynchrones, les comportements malveillants des pairs, la dégradation à long terme, les échecs de nettoyage et les configurations spécifiques au déploiement », a noté M. Chang. « Ces défaillances peuvent produire initialement la sortie correcte du protocole tout en permettant à un acteur disposant de moyens relativement modestes de provoquer une consommation disproportionnée de mémoire, de threads, d’espace disque ou de bande passante. » Comme les tests effectués par les responsables de maintenance ne peuvent pas détecter tous les vecteurs potentiels, M. Chang a souligné que la recherche menée par des tiers reste essentielle pour remettre en question les hypothèses en dehors du cadre du développement courant.

« Le modèle le plus abouti est continu et cumulatif : CI et fuzzing par les responsables de maintenance, tests adversariaux multi-nœuds, recherches indépendantes périodiques, ainsi qu’un test de régression permanent ou un scénario d’attaque ajouté pour chaque vulnérabilité confirmée », a déclaré M. Chang, précisant que Certik conçoit sa plateforme Chain Scan pour prendre en charge ce modèle.