Besu divulga cinco falhas encontradas pela CertiK após corrigi-las na versão 26.7.1, lançada em 27 de julho.
Resumo
- Besu corrigiu cinco vulnerabilidades relatadas pela CertiK na versão 26.7.1 antes de publicar avisos técnicos completos publicamente posteriormente.
- A CertiK encontrou riscos de esgotamento de recursos nas interfaces de rede, RPC, WebSocket e consenso durante pesquisa de segurança independente.
- A divulgação coordenada deu aos operadores da Besu tempo para atualizar antes que informações detalhadas sobre as vulnerabilidades se tornassem públicas.
A Besu publicou avisos detalhados em 14 de agosto cobrindo cinco vulnerabilidades de segurança da Besu encontradas pela CertiK e corrigidas na versão 26.7.1, lançada em 27 de julho.
Os problemas afetaram o cliente Ethereum baseado em Java nas interfaces peer-to-peer, RPC, WebSocket e voltadas para consenso. Em configurações afetadas, eles poderiam esgotar a memória ou a capacidade de threads e interromper a disponibilidade do nó ou o processamento de consenso. A CertiK encontrou as falhas por meio de testes autônomos em uma rede Besu privada de múltiplos nós e as relatou em particular à equipe do projeto.
Besu 26.7.1 lançada antes dos detalhes técnicos
A Besu lançou a versão 26.7.1 em 27 de julho como uma atualização de segurança e instou os usuários a atualizarem. O lançamento abordou todas as cinco descobertas da CertiK, juntamente com problemas de segurança separados. A página de lançamento do GitHub da Besu identifica a 26.7.1 como uma atualização focada em segurança e credita a CertiK e a EF Security pela divulgação responsável. As notas de lançamento também introduziram limites afetando filtros JSON-RPC e assinaturas WebSocket.
Os detalhes técnicos tornaram-se públicos em 14 de agosto, quando a Besu publicou quatro avisos cobrindo as cinco descobertas da CertiK. Cada aviso identificou a versão 26.7.1 como o lançamento corrigido. O momento significou que os operadores tiveram acesso à correção antes que informações detalhadas sobre as fraquezas se tornassem públicas. Essa sequência coordenada deu aos usuários tempo para atualizar, reduzindo a exposição desnecessária a detalhes antes que a remediação estivesse disponível.
Divulgação coordenada e testes independentes
A CertiK relatou todas as cinco descobertas diretamente à equipe da Besu. Os pesquisadores também forneceram harnesses de teste de prova de conceito reproduzíveis que a Besu poderia usar para examinar o comportamento. As duas equipes coordenaram confidencialmente enquanto a Besu avaliava e remediaba os problemas. Eles tornaram as informações técnicas públicas somente após o lançamento corrigido estar disponível, seguindo um processo de divulgação responsável descrito no material de origem.
A CertiK identificou as vulnerabilidades de segurança da Besu durante pesquisa autônoma usando sua metodologia de teste adversarial Chain Scan. O trabalho usou uma rede de teste Besu privada de múltiplos nós. Os pesquisadores introduziram falhas controladas nas interfaces peer-to-peer, HTTP RPC, WebSocket RPC e voltadas para consenso. Eles usaram esses testes para examinar riscos de disponibilidade e esgotamento de recursos sob condições controladas, em vez de por meio de um engajamento com cliente.
Vulnerabilidades de segurança da Besu levantaram riscos de recursos
A pesquisa não teve escopo comercial. A CertiK classificou as cinco descobertas de Menor a Maior em gravidade. As áreas afetadas incluíam processamento de anúncios de bloco, buffer de propostas de consenso de altura futura, limites de assinatura WebSocket e criação de filtros JSON-RPC sem limites efetivos. Essas áreas tocam como um nó lida com mensagens de rede, assinaturas, solicitações remotas e dados relacionados a consenso.
Em configurações afetadas, as fraquezas poderiam consumir memória do nó ou threads disponíveis. Essa pressão de recursos poderia interferir na disponibilidade do nó ou no processamento de consenso. Duas remediações visíveis no lançamento 26.7.1 adicionaram limites para filtros JSON-RPC ativos e assinaturas WebSocket, fechando caminhos para crescimento ilimitado de recursos. A Besu instou os operadores a migrarem para a versão corrigida quando lançou a atualização.
Avisos adicionam registro público de remediação
A publicação dos avisos pela Besu criou um registro público das cinco descobertas e sua remediação. As notas de lançamento do projeto também reconheceram a CertiK e a EF Security por suas respectivas divulgações responsáveis. A Besu é um cliente Ethereum de código aberto escrito em Java e licenciado sob Apache 2.0, de acordo com a Linux Foundation Decentralized Trust. O projeto suporta casos de uso de redes públicas e privadas.
Besu serve como cliente de execução na Mainnet Ethereum e em testnets, além de suportar redes privadas empresariais. Ele fornece uma interface de linha de comando, API JSON-RPC e API de Plugin para operações de nós e extensões. A CertiK, fundada em 2017 por professores da Universidade de Yale e da Universidade de Columbia, afirma ter detectado mais de 119.000 vulnerabilidades e protegido mais de US$ 600 bilhões em ativos digitais em mais de 150 países e regiões.
