Pengungkapan: Konten ini disediakan oleh pihak ketiga. Baik crypto.news maupun penulis artikel ini tidak mendukung produk apa pun yang disebutkan di halaman ini. Pengguna harus melakukan riset sendiri sebelum mengambil tindakan apa pun terkait dengan perusahaan.
Besu mengungkapkan lima kelemahan yang ditemukan CertiK setelah menambalnya di versi 26.7.1, yang dirilis pada 27 Juli.
Besu menerbitkan advisori terperinci pada 14 Agustus yang mencakup lima kerentanan keamanan Besu yang ditemukan oleh CertiK dan diperbaiki dalam versi 26.7.1, yang dirilis pada 27 Juli.
Masalah-masalah ini memengaruhi klien Ethereum berbasis Java di seluruh antarmuka peer-to-peer, RPC, WebSocket, dan yang berhadapan dengan konsensus. Dalam konfigurasi yang terpengaruh, mereka dapat menghabiskan memori atau kapasitas thread dan mengganggu ketersediaan node atau pemrosesan konsensus. CertiK menemukan kelemahan-kelemahan ini melalui pengujian mandiri pada jaringan Besu multi-node pribadi dan melaporkannya secara pribadi kepada tim proyek.
Besu pertama kali merilis versi 26.7.1 pada 27 Juli sebagai pembaruan keamanan dan mendesak pengguna untuk melakukan peningkatan. Rilis ini mengatasi kelima temuan CertiK bersama dengan masalah keamanan terpisah. Halaman rilis GitHub Besu mengidentifikasi 26.7.1 sebagai pembaruan yang berfokus pada keamanan dan memberikan kredit kepada CertiK serta EF Security atas pengungkapan yang bertanggung jawab. Catatan rilis juga memperkenalkan batasan yang memengaruhi filter JSON-RPC dan langganan WebSocket.
Detail teknis menjadi publik pada 14 Agustus, ketika Besu menerbitkan empat advisori yang mencakup kelima temuan CertiK. Setiap advisori mengidentifikasi versi 26.7.1 sebagai rilis yang telah diperbaiki. Waktu perilisan ini berarti operator memiliki akses ke perbaikan sebelum informasi terperinci tentang kelemahan-kelemahan tersebut menjadi publik. Urutan terkoordinasi ini memberi waktu kepada pengguna untuk melakukan peningkatan sambil mengurangi paparan yang tidak perlu terhadap detail sebelum remediasi tersedia.
CertiK melaporkan kelima temuan tersebut langsung kepada tim Besu. Para peneliti juga menyediakan alat uji bukti konsep yang dapat direproduksi yang dapat digunakan Besu untuk memeriksa perilaku. Kedua tim berkoordinasi secara rahasia sementara Besu mengevaluasi dan memperbaiki masalah tersebut. Mereka memublikasikan informasi teknis hanya setelah rilis yang telah ditambal tersedia, mengikuti proses pengungkapan yang bertanggung jawab seperti yang dijelaskan dalam materi sumber.
CertiK mengidentifikasi kerentanan keamanan Besu selama penelitian mandiri menggunakan metodologi pengujian adversarial Chain Scan miliknya. Pekerjaan ini menggunakan jaringan uji Besu multi-node pribadi. Para peneliti memperkenalkan kesalahan terkontrol di seluruh antarmuka peer-to-peer, HTTP RPC, WebSocket RPC, dan antarmuka yang berhadapan dengan konsensus. Mereka menggunakan tes tersebut untuk memeriksa ketersediaan dan risiko kehabisan sumber daya dalam kondisi terkontrol, bukan melalui keterlibatan klien.
Penelitian tersebut tidak memiliki cakupan komersial. CertiK menilai kelima temuan tersebut dari Minor hingga Mayor dalam tingkat keparahan. Area yang terpengaruh meliputi pemrosesan pengumuman blok, buffering proposal konsensus ketinggian-masa depan, batas langganan WebSocket, dan pembuatan filter JSON-RPC tanpa batasan yang efektif. Area-area ini menyentuh cara node menangani pesan jaringan, langganan, permintaan jarak jauh, dan data terkait konsensus.
Dalam konfigurasi yang terpengaruh, kelemahan-kelemahan tersebut dapat mengonsumsi memori node atau thread yang tersedia. Tekanan sumber daya tersebut dapat mengganggu ketersediaan node atau pemrosesan konsensus. Dua perbaikan yang terlihat dalam rilis 26.7.1 menambahkan batasan untuk filter JSON-RPC aktif dan langganan WebSocket, menutup jalur untuk pertumbuhan sumber daya yang tidak terbatas. Besu mendesak operator untuk beralih ke versi yang telah ditambal saat pembaruan dirilis.
Publikasi advisori oleh Besu menciptakan catatan publik tentang kelima temuan dan perbaikannya. Catatan rilis proyek juga mengakui CertiK dan EF Security atas pengungkapan yang bertanggung jawab masing-masing. Besu adalah klien Ethereum sumber terbuka yang ditulis dalam Java dan dilisensikan di bawah Apache 2.0, menurut Linux Foundation Decentralized Trust. Proyek ini mendukung kasus penggunaan jaringan publik dan pribadi.
Besu berfungsi sebagai klien eksekusi di Ethereum Mainnet dan testnet, sambil juga mendukung jaringan pribadi perusahaan. Ini menyediakan antarmuka baris perintah, JSON-RPC API, dan Plugin API untuk operasi dan ekstensi node. CertiK, didirikan pada tahun 2017 oleh profesor dari Yale University dan Columbia University, menyatakan telah mendeteksi lebih dari 119.000 kerentanan dan melindungi lebih dari $600 miliar aset digital di lebih dari 150 negara dan wilayah.
Pengungkapan: Konten ini disediakan oleh pihak ketiga. Baik crypto.news maupun penulis artikel ini tidak mendukung produk apa pun yang disebutkan di halaman ini. Pengguna harus melakukan riset sendiri sebelum mengambil tindakan apa pun terkait dengan perusahaan.
