Besu устраняет уязвимости в 5 узлах: что нужно знать операторам

Подход «сначала исправление» для обеспечения преимущества защитников

Разработчики открытого клиента Ethereum Besu устранили пять уязвимостей безопасности, обнаруженных компанией Certik, специализирующейся на безопасности блокчейнов. 14 августа Besu опубликовал четыре подробных уведомления о безопасности, касающихся этих пяти уязвимостей, все из которых были устранены в версии 26.7.1, первоначально выпущенной 27 июля в качестве срочного обновления безопасности.

По словам руководства службы безопасности, задержка между выпуском программного патча и публикацией подробностей рекомендаций была намеренной.

«Эффективность достигается за счет последовательности действий, а не за счет задержки раскрытия информации ради самой задержки», — сказал Цзялян Чанг, директор по инженерии безопасности и старший партнер по аудиту в Certik. «Besu выпустила исправленную версию в конце июля и четко обозначила, что она устраняет уязвимости безопасности, с указанием как можно скорее выполнить обновление».

Чанг отметил, что модель «сначала исправление, потом подробности» дает специалистам по сетевой безопасности решающее преимущество перед потенциальными злоумышленниками.

«Такой подход даёт защитникам небольшое преимущество во времени до того, как точные механизмы атаки станут широко доступны», — пояснил Чанг. «Операторы узлов могут использовать этот период для выявления затронутых развёрток, оценки того, какие интерфейсы и пути консенсуса подвержены риску, тестирования версии в тестовой среде, координации обновлений среди валидаторов или участников консорциума, а также подготовки процедур отката и мониторинга».

По словам Чанга, этот период подготовки особенно важен для институциональных или разрешённых блокчейн-сетей, где обновления часто требуют формальных протоколов управления изменениями и межорганизационной координации. Задержка в раскрытии информации снижает риски немедлённого злоупотребления в течение «N-дней», оставаясь при этом достаточно короткой, чтобы сохранить прозрачность сообщества.

Уязвимости были первоначально выявлены в ходе самостоятельного исследования, проведённого компанией Certik с использованием её методологии атак «Chain Scan». Работая в частной тестовой сети с несколькими узлами без внешнего финансирования со стороны клиентов, исследователи внедрили контролируемые сбои в интерфейсы одноранговой связи, HTTP RPC, WebSocket RPC и интерфейсы, связанные с консенсусом.

Результаты исследования, классифицированные Certik по степени серьезности от незначительных до серьезных, включали уязвимости в обработке объявлений о блоках, буферизации предложений консенсуса для будущих высот, ограничениях подписок WebSocket и создании фильтров JSON-RPC. Если эти уязвимости останутся неустраненными, они могут позволить злоумышленнику исчерпать память узла или ресурсы потоков, что поставит под угрозу доступность узла и процесс достижения консенсуса.

Пробелы в существующих моделях тестирования клиентов

Certik в конфиденциальном порядке предоставила команде Besu воспроизводимые тестовые наборы для подтверждения концепции, что позволило разработчикам оценить и устранить уязвимости в конфиденциальном порядке до выпуска. В примечаниях к выпуску версии 26.7.1 Besu выразила благодарность как Certik, так и отделу безопасности Ethereum Foundation за ответственное раскрытие информации.

Говоря о более широкой картине инфраструктуры публичных блокчейнов, Чанг сообщил Bitcoin.com News, что сообщество открытого исходного кода работает в гибридной среде безопасности.

«Экосистема явно движется в сторону более формализованного тестирования безопасности», — сказал Чанг, указав на существующие практики, такие как дифференциальный фуззинг, симуляции на сетевом уровне, частные сети для атак, программы вознаграждений за обнаружение ошибок и межклиентские фреймворки devp2p-фуззинга.

Однако Чанг предупредил, что охват тестирования по-прежнему остается неравномерным в масштабах всей отрасли.

«Тестирование на соответствие протоколу и переходы между состояниями зачастую находится на более зрелой стадии, чем непрерывное тестирование на исчерпание ресурсов, асинхронные условия гонки, злонамеренное поведение узлов, длительное ухудшение производительности, сбои очистки и конфигурации, специфичные для конкретного развертывания», — отметил Чанг. «Эти сбои могут поначалу давать правильный протокольный выход, при этом позволяя злоумышленнику с относительно низкими затратами вызывать непропорционально высокое потребление памяти, потоков, дискового пространства или сетевых ресурсов».

Поскольку тестирование, проводимое разработчиками, не может выявить все потенциальные векторы атак, Чанг подчеркнул, что исследования сторонних экспертов по-прежнему играют важную роль в проверке допущений за пределами рутинной разработки.

«Более зрелая модель носит непрерывный и кумулятивный характер: CI и фузинг, проводимые разработчиками, многоузловое тестирование на атаки, периодические независимые исследования, а также постоянное регрессионное тестирование или сценарий атаки, добавляемый для каждой подтвержденной уязвимости», — сказал Чанг, отметив, что Certik разрабатывает свою платформу Chain Scan для поддержки этой модели.

Источник