Ethereum-klienten Besu utbedret fem sikkerhetssårbarheter oppdaget av Certik i versjon 26.7.1, lansert 27. juli. Certiks Jialiang Chang fremhevet at modellen «patch først, detaljer senere» beskytter nodeoperatører mot umiddelbare N-dagers utnyttelser ved å muliggjøre staging og utrulling før angrepsdetaljer blir offentlige.
Besu lapper sårbarheter i 5 noder: Dette må operatører vite
SKREVET AV
DEL
Viktige punkter
- Besu løste 5 feil oppdaget av Certik i utgivelse 26.7.1, og utsatte rådgivningene til 14. aug. av hensyn til sikkerhet.
- Certik-partner Jialiang Chang bemerket at 18-dagersvinduet ga Ethereum-nodeoperatører tid til å blokkere N-dagers utnyttelser.
- Certik oppdaterer Chain Scan for å utvide døgnkontinuerlig, fler-node adversarial-testing på tvers av offentlige blokkjedenettverk.
En «Patch-først»-tilnærming som gir forsvarere et overtak
Utviklerne bak den åpen kildekode-baserte Ethereum-klienten Besu har utbedret fem sikkerhetssårbarheter oppdaget av blokkjede-sikkerhetsselskapet Certik. Besu publiserte fire detaljerte sikkerhetsrådgivninger 14. aug. som omfatter de fem sårbarhetene, som alle ble løst i versjon 26.7.1, opprinnelig lansert 27. juli som en hastesikkerhetsoppdatering.
Forsinkelsen mellom å slippe programvarepatchen og å publisere rådgivningsdetaljene var tilsiktet, ifølge sikkerhetsledelsen.
«Effektiviteten kommer av rekkefølgen, snarere enn av å forsinke offentliggjøring for sin egen skyld», sa Jialiang Chang, direktør for sikkerhetsengineering og senior audit-partner i Certik. «Besu gjorde den patchede utgivelsen tilgjengelig sent i juli og markerte tydelig at den adresserte sikkerhetssårbarheter, med en instruks om å oppgradere så snart som mulig.»
Chang bemerket at modellen «patch først, detaljer senere» gir nettverksforsvarere en kritisk fordel over potensielle utnyttere.
«Den tilnærmingen gir forsvarere et begrenset forsprang før den presise angrepsmekanikken blir bredt tilgjengelig», forklarte Chang. «Nodeoperatører kan bruke perioden til å identifisere berørte utrullinger, vurdere hvilke grensesnitt og konsensusbaner som er eksponert, teste utgivelsen i staging, koordinere oppgraderinger på tvers av validatorer eller konsortiedeltakere, og forberede rollback- og overvåkingsprosedyrer.»
Ifølge Chang er dette forberedelsesvinduet spesielt viktig for institusjonelle eller tillatte blokkjedenettverk, der oppgraderinger ofte krever formelle endringsstyringsprotokoller og koordinering på tvers av organisasjoner. Offentliggjøringsgapet reduserer umiddelbar «N-dagers» utnyttelsesrisiko samtidig som det forblir kort nok til å opprettholde åpenhet i fellesskapet.
Sårbarhetene ble opprinnelig avdekket under egeninitiert forskning utført av Certik ved bruk av deres «Chain Scan»-metodikk for adversarial-testing. Ved å operere på et privat, fler-node testnettverk uten ekstern klientfinansiering injiserte forskere kontrollerte feil på tvers av peer-to-peer-, HTTP RPC-, WebSocket RPC- og konsensusvendte grensesnitt.
Funnene, vurdert av Certik fra mindre til store i alvorlighetsgrad, inkluderte svakheter i behandling av blokkannonseringer, buffering av konsensusforslag for fremtidig høyde, grenser for WebSocket-abonnementer og oppretting av JSON-RPC-filtre. Hvis de ikke ble håndtert, kunne feilene gjøre det mulig for en angriper å tømme nodens minne eller tråd-kapasitet, noe som truer nodetilgjengelighet og konsensusbehandling.
Huller i dagens modeller for klienttesting
Certik ga Besu-teamet privat reproducerbare proof-of-concept-testharnesser, slik at vedlikeholderne kunne evaluere og løse sårbarhetene konfidensielt før lansering. I versjon 26.7.1s utgivelsesnotater anerkjente Besu både Certik og Ethereum Foundation Security for deres ansvarlige offentliggjøringer.
Når det gjelder det bredere landskapet for offentlig blokkjedeinfrastruktur, sa Chang til Bitcoin.com News at open-source-fellesskapet opererer i et hybrid sikkerhetsmiljø.
«Økosystemet beveger seg tydelig mot mer formaliserte sikkerhetstester», sa Chang, og pekte på eksisterende praksiser som differensiell fuzzing, simuleringer på nettverksnivå, private angrepsnettverk, bug bounties og rammeverk for cross-client devp2p-fuzzing.
Chang advarte imidlertid om at testdekningen fortsatt er ujevn i bransjen.
«Protokoll-konformitet og state-transition-testing er ofte mer moden enn kontinuerlig testing for ressursutmattelse, asynkrone race conditions, ondsinnet peer-atferd, forringelse over lang tid, feil i opprydding og utrullingsspesifikke konfigurasjoner», bemerket Chang. «Disse feilene kan i starten produsere korrekt protokollutdata, samtidig som de fortsatt lar en relativt lavkost-aktør forårsake uforholdsmessig minne-, tråd-, disk- eller nettverksforbruk.»
Siden vedlikeholdertesting ikke kan fange alle potensielle vektorer, understreket Chang at tredjepartsforskning fortsatt er avgjørende for å utfordre antakelser utenfor rutineutvikling.
«Den mer modne modellen er kontinuerlig og kumulativ: vedlikeholder-CI og fuzzing, fler-node adversarial-testing, periodisk uavhengig forskning, og en permanent regresjonstest eller angrepsscenario lagt til for hver bekreftede sårbarhet», sa Chang, og la til at Certik designer Chain Scan-plattformen sin for å støtte denne modellen.
Denne artikkelen er oversatt fra engelsk ved hjelp av kunstig intelligens. Den originale engelske versjonen er den autoritative kilden; automatiske oversettelser kan inneholde unøyaktigheter, særlig i juridisk og regulatorisk terminologi.
