Kerentanan keamanan Besu diperbaiki dalam versi 26.7.1

Besu mengungkapkan lima celah yang ditemukan oleh CertiK setelah memperbaikinya dalam versi 26.7.1, yang dirilis pada 27 Juli.

Summary

• Besu memperbaiki lima kerentanan yang dilaporkan oleh CertiK dalam versi 26.7.1 sebelum menerbitkan nasihat teknis lengkap secara publik setelahnya.
• CertiK menemukan risiko kehabisan sumber daya di seluruh jaringan, RPC, WebSocket, dan antarmuka konsensus selama penelitian keamanan independen.
• Pengungkapan terkoordinasi memberi waktu kepada operator Besu untuk melakukan pembaruan sebelum informasi kerentanan yang lebih rinci tersedia untuk publik.

Besu menerbitkan nasihat rinci pada 14 Agustus yang mencakup lima kerentanan keamanan Besu yang ditemukan oleh CertiK dan diperbaiki dalam versi 26.7.1, yang dirilis pada 27 Juli.

Masalah ini mempengaruhi klien Ethereum berbasis Java di seluruh antarmuka peer-to-peer, RPC, WebSocket, dan konsensus. Dalam konfigurasi yang terpengaruh, mereka dapat menghabiskan memori atau kapasitas thread dan mengganggu ketersediaan node atau pemrosesan konsensus. CertiK menemukan celah tersebut melalui pengujian mandiri di jaringan Besu multi-node pribadi dan melaporkannya secara pribadi kepada tim proyek.

Besu pertama kali merilis versi 26.7.1 pada 27 Juli sebagai pembaruan keamanan dan mendesak pengguna untuk melakukan pembaruan. Rilis tersebut menangani semua temuan CertiK serta masalah keamanan terpisah. Halaman rilis GitHub Besu mengidentifikasi 26.7.1 sebagai pembaruan yang berfokus pada keamanan dan memberikan kredit kepada CertiK dan EF Security atas pengungkapan yang bertanggung jawab. Catatan rilis juga memperkenalkan batasan yang mempengaruhi filter JSON-RPC dan langganan WebSocket.

Detail teknis menjadi publik pada 14 Agustus, ketika Besu menerbitkan empat nasihat yang mencakup lima temuan CertiK. Setiap nasihat mengidentifikasi versi 26.7.1 sebagai rilis yang diperbaiki. Waktu tersebut berarti operator memiliki akses ke perbaikan sebelum informasi rinci tentang kelemahan menjadi publik. Urutan terkoordinasi ini memberi pengguna waktu untuk melakukan pembaruan sambil mengurangi paparan yang tidak perlu terhadap detail sebelum perbaikan tersedia.

CertiK melaporkan semua lima temuan langsung kepada tim Besu. Peneliti juga menyediakan kerangka pengujian bukti konsep yang dapat direproduksi yang dapat digunakan Besu untuk memeriksa perilaku. Kedua tim berkoordinasi secara rahasia sementara Besu mengevaluasi dan memperbaiki masalah tersebut. Mereka hanya mempublikasikan informasi teknis setelah rilis yang diperbaiki tersedia, mengikuti proses pengungkapan yang bertanggung jawab yang dijelaskan dalam materi sumber.

CertiK mengidentifikasi kerentanan keamanan Besu selama penelitian mandiri menggunakan metodologi pengujian adversarial Chain Scan. Pekerjaan tersebut menggunakan jaringan uji Besu multi-node pribadi. Peneliti memperkenalkan kesalahan terkontrol di seluruh antarmuka peer-to-peer, HTTP RPC, WebSocket RPC, dan konsensus. Mereka menggunakan pengujian tersebut untuk memeriksa ketersediaan dan risiko kehabisan sumber daya dalam kondisi terkontrol daripada melalui keterlibatan klien.

Penelitian tersebut tidak memiliki ruang lingkup komersial. CertiK menilai lima temuan dari Minor hingga Major dalam tingkat keparahan. Area yang terpengaruh mencakup pemrosesan pengumuman blok, buffering proposal konsensus tinggi mendatang, batasan langganan WebSocket, dan pembuatan filter JSON-RPC tanpa batasan yang efektif. Area ini menyentuh bagaimana sebuah node menangani pesan jaringan, langganan, permintaan jarak jauh, dan data terkait konsensus.

Dalam konfigurasi yang terpengaruh, kelemahan tersebut dapat menghabiskan memori node atau thread yang tersedia. Tekanan sumber daya tersebut dapat mengganggu ketersediaan node atau pemrosesan konsensus. Dua perbaikan yang terlihat dalam rilis 26.7.1 menambahkan batasan untuk filter JSON-RPC aktif dan langganan WebSocket, menutup jalur untuk pertumbuhan sumber daya yang tidak terbatas. Besu mendesak operator untuk beralih ke versi yang diperbaiki ketika merilis pembaruan tersebut.

Publikasi nasihat oleh Besu menciptakan catatan publik tentang lima temuan dan perbaikannya. Catatan rilis proyek juga mengakui CertiK dan EF Security atas pengungkapan yang bertanggung jawab masing-masing. Besu adalah klien Ethereum sumber terbuka yang ditulis dalam Java dan dilisensikan di bawah Apache 2.0, menurut Linux Foundation Decentralized Trust. Proyek ini mendukung penggunaan jaringan publik dan pribadi.

Besu berfungsi sebagai klien eksekusi di Ethereum Mainnet dan testnets, serta mendukung jaringan pribadi perusahaan. Ini menyediakan antarmuka baris perintah, API JSON-RPC, dan API Plugin untuk operasi dan ekstensi node. CertiK, yang didirikan pada tahun 2017 oleh profesor dari Universitas Yale dan Universitas Columbia, mengatakan bahwa mereka telah mendeteksi lebih dari 119.000 kerentanan dan melindungi lebih dari $600 miliar dalam aset digital di lebih dari 150 negara dan wilayah.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.