Besu verhelpt kwetsbaarheden in 5 knooppunten: wat beheerders moeten weten

Een ‘Patch-First’-aanpak voor een verdedigingsvoordeel

De ontwikkelaars achter de open-source Ethereum-client Besu hebben vijf beveiligingskwetsbaarheden verholpen die waren ontdekt door blockchainbeveiligingsbedrijf Certik. Besu publiceerde op 14 augustus vier gedetailleerde beveiligingsadviezen over de vijf kwetsbaarheden, die allemaal zijn verholpen in versie 26.7.1, die oorspronkelijk op 27 juli als dringende beveiligingsupdate werd uitgebracht.

De vertraging tussen het uitbrengen van de softwarepatch en het publiceren van de details in de beveiligingsadviezen was volgens de beveiligingsleiding opzettelijk.

„De effectiviteit komt voort uit de volgorde, in plaats van uit het uitstellen van de openbaarmaking omwille van het uitstellen zelf“, aldus Jialiang Chang, directeur beveiligingsengineering en senior auditpartner bij Certik. "Besu heeft de gepatchte release eind juli beschikbaar gesteld en deze duidelijk gemarkeerd als een oplossing voor beveiligingskwetsbaarheden, met de instructie om zo snel mogelijk te upgraden."

Chang merkte op dat het model "eerst de patch, dan de details" netwerkbeveiligers een cruciaal voordeel geeft ten opzichte van potentiële aanvallers.

"Die aanpak geeft beveiligers een beperkte voorsprong voordat de precieze aanvalsmechanismen op grote schaal beschikbaar komen," legde Chang uit. "Knooppuntbeheerders kunnen die periode gebruiken om getroffen implementaties te identificeren, te beoordelen welke interfaces en consensuspaden kwetsbaar zijn, de release in een testomgeving te testen, upgrades te coördineren tussen validators of consortiumdeelnemers, en rollback- en monitoringprocedures voor te bereiden."

Volgens Chang is deze voorbereidingsperiode vooral van cruciaal belang voor institutionele of permissioned blockchain-netwerken, waar upgrades vaak formele protocollen voor wijzigingsbeheer en organisatieoverschrijdende coördinatie vereisen. De openbaarmakingsperiode vermindert de onmiddellijke „N-day“-exploitatierisico’s, terwijl deze kort genoeg blijft om de transparantie binnen de gemeenschap te behouden.

De kwetsbaarheden werden oorspronkelijk ontdekt tijdens zelfstandig onderzoek dat Certik uitvoerde met behulp van zijn „Chain Scan“-methodologie voor adversarial-testing. Werkend op een privé-testnetwerk met meerdere knooppunten, zonder externe financiering door klanten, injecteerden onderzoekers gecontroleerde fouten in peer-to-peer-, HTTP RPC-, WebSocket RPC- en consensusgerichte interfaces.

De bevindingen, door Certik ingedeeld naar ernst van gering tot ernstig, omvatten zwakke punten in de verwerking van blokmeldingen, buffering van consensusvoorstellen voor toekomstige blokhoogtes, WebSocket-abonnementslimieten en het aanmaken van JSON-RPC-filters. Als deze kwetsbaarheden niet worden verholpen, kunnen ze een aanvaller in staat stellen het geheugen of de threadcapaciteit van een node volledig uit te putten, waardoor de beschikbaarheid van de node en de consensusverwerking in gevaar komen.

Tekortkomingen in de huidige testmodellen voor clients

Certik heeft het Besu-team onder vier ogen voorzien van reproduceerbare proof-of-concept-testharnassen, waardoor beheerders de kwetsbaarheden vertrouwelijk konden evalueren en verhelpen vóór de release. In de release-opmerkingen bij versie 26.7.1 bedankte Besu zowel Certik als Ethereum Foundation Security voor hun verantwoordelijke meldingen.

Met het oog op het bredere landschap van openbare blockchain-infrastructuur vertelde Chang aan Bitcoin.com News dat de open-sourcegemeenschap opereert in een hybride beveiligingsomgeving.

"Het ecosysteem evolueert duidelijk in de richting van meer geformaliseerde beveiligingstests", zei Chang, waarbij hij wees op bestaande praktijken zoals differentiële fuzzing, simulaties op netwerkniveau, privé-aanvalnetwerken, bugbounties en devp2p-fuzzing-frameworks voor meerdere clients.

Chang waarschuwde echter dat de testdekking binnen de sector nog steeds ongelijkmatig is.

"Testen op protocolconformiteit en toestandsveranderingen zijn vaak verder ontwikkeld dan continue tests voor uitputting van bronnen, asynchrone race-condities, kwaadwillig gedrag van peers, langdurige prestatieverslechtering, fouten bij het opschonen en implementatiespecifieke configuraties," merkte Chang op. "Deze tekortkomingen kunnen in eerste instantie de juiste protocoluitvoer opleveren, terwijl een relatief goedkope aanvaller toch onevenredig veel geheugen, threads, schijfruimte of netwerkbandbreedte kan verbruiken."

Omdat testen door beheerders niet elke mogelijke aanvalsvector kan opsporen, benadrukte Chang dat onderzoek door derden essentieel blijft om aannames buiten de routineontwikkeling om te toetsen.

"Het meer volwassen model is continu en cumulatief: CI en fuzzing door beheerders, adversariaal testen op meerdere knooppunten, periodiek onafhankelijk onderzoek en een permanente regressietest of aanvalsscenario dat wordt toegevoegd voor elke bevestigde kwetsbaarheid," zei Chang, waarbij hij opmerkte dat Certik zijn Chain Scan-platform ontwerpt om dit model te ondersteunen.