Besu corrige 5 vulnérabilités de nœud : ce que les opérateurs doivent savoir

Une approche « Patch-First » pour Defender Advantage

Les développeurs derrière le client open source Ethereum Besu ont corrigé cinq vulnérabilités de sécurité découvertes par la société de sécurité blockchain Certik. Besu a publié le 14 août quatre avis de sécurité détaillés couvrant les cinq vulnérabilités, qui ont toutes été résolues dans la version 26.7.1, initialement publiée le 27 juillet en tant que mise à jour de sécurité urgente.

Le délai entre la publication du correctif logiciel et la publication des détails de l'avis était intentionnel, selon les responsables de la sécurité.

« L'efficacité vient du séquençage, plutôt que du retard dans la divulgation », a déclaré Jialiang Chang, directeur de l'ingénierie de sécurité et associé principal d'audit chez Certik. « Besu a rendu la version corrigée disponible fin juillet et l'a clairement indiquée comme corrigeant des vulnérabilités de sécurité, avec pour instruction de la mettre à niveau dès que possible. »

Chang a souligné que le modèle « le correctif d'abord, les détails ensuite » donne aux défenseurs du réseau un avantage crucial sur les exploiteurs potentiels.

« Cette approche donne aux défenseurs une longueur d'avance limitée avant que les mécanismes d'attaque précis ne soient largement disponibles », a expliqué Chang. « Les opérateurs de nœuds peuvent profiter de cette période pour identifier les déploiements concernés, évaluer les interfaces et les chemins de consensus exposés, tester la version en phase intermédiaire, coordonner les mises à niveau entre les validateurs ou les participants du consortium, et préparer les procédures de restauration et de surveillance. »

Selon Chang, cette fenêtre de préparation est particulièrement vitale pour les réseaux blockchain institutionnels ou autorisés, où les mises à niveau nécessitent souvent des protocoles formels de gestion du changement et une coordination inter-organisationnelle. L’écart de divulgation réduit les risques immédiats d’exploitation « N jours » tout en restant suffisamment bref pour maintenir la transparence de la communauté.

Les vulnérabilités ont été initialement découvertes lors de recherches autodirigées menées par Certik à l’aide de sa méthodologie de tests contradictoires « Chain Scan ». Opérant sur un réseau de test privé à plusieurs nœuds sans financement externe de client, les chercheurs ont injecté des erreurs contrôlées dans des interfaces peer-to-peer, HTTP RPC, WebSocket RPC et des interfaces de consensus.

Les résultats, évalués par Certik de mineur à majeur, comprenaient des faiblesses dans le traitement des annonces de blocage, la mise en mémoire tampon des propositions de consensus futures, les limites d'abonnement WebSocket et la création de filtres JSON-RPC. Si elles ne sont pas corrigées, les failles pourraient permettre à un attaquant d'épuiser la mémoire du nœud ou la capacité des threads, menaçant ainsi la disponibilité des nœuds et le traitement du consensus.

Lacunes dans les modèles de tests clients actuels

Certik a fourni en privé à l'équipe Besu des tests de validation de principe reproductibles, permettant aux responsables d'évaluer et de résoudre les vulnérabilités de manière confidentielle avant leur publication. Dans ses notes de publication de la version 26.7.1, Besu a reconnu Certik et Ethereum Foundation Security pour leurs divulgations responsables.

Abordant le paysage plus large de l'infrastructure publique de blockchain, Chang a déclaré à Bitcoin.com News que la communauté open source opère dans un environnement de sécurité hybride.

« L'écosystème évolue clairement vers des tests de sécurité plus formalisés », a déclaré Chang, soulignant les pratiques existantes telles que le fuzzing différentiel, les simulations au niveau du réseau, les réseaux d'attaque privés, les bug bounties et les cadres de fuzzing devp2p multi-clients.

Cependant, Chang a averti que la couverture des tests reste inégale dans l'industrie.

« Les tests de conformité aux protocoles et de transition d'état sont souvent plus matures que les tests continus pour l'épuisement des ressources, les conditions de concurrence asynchrone, le comportement malveillant des pairs, la dégradation de longue durée, les échecs de nettoyage et les configurations spécifiques au déploiement », a noté Chang. « Ces échecs peuvent produire initialement un résultat de protocole correct tout en permettant à un acteur relativement peu coûteux de provoquer une consommation disproportionnée de mémoire, de threads, de disque ou de réseau. »

Étant donné que les tests des responsables ne peuvent pas détecter tous les vecteurs potentiels, Chang a souligné que la recherche par des tiers reste essentielle pour remettre en question les hypothèses en dehors du développement de routine.

« Le modèle le plus mature est continu et cumulatif : CI du responsable et fuzzing, tests contradictoires multi-nœuds, recherches indépendantes périodiques et un test de régression permanent ou un scénario d'attaque ajouté pour chaque vulnérabilité confirmée », a déclaré Chang, notant que Certik conçoit sa plate-forme Chain Scan pour prendre en charge ce modèle.