Besu安全漏洞在26.7.1版本中修復

Besu在7月27日發布的26.7.1版本中修復了五個CertiK發現的漏洞。

摘要

• Besu在公開完整技術建議之前，已在26.7.1版本中修復了五個CertiK報告的漏洞。
• CertiK在獨立安全研究中發現了網絡、RPC、WebSocket和共識接口的資源耗盡風險。
• 協調披露使Besu運營商有時間升級，避免詳細漏洞信息公開後的風險。

Besu於8月14日發布了詳細的建議，涵蓋了五個由CertiK發現並在7月27日的26.7.1版本中修復的安全漏洞。

這些問題影響了基於Java的以太坊客戶端，涉及點對點、RPC、WebSocket和面向共識的接口。在受影響的配置下，這些漏洞可能會耗盡內存或線程容量，並干擾節點的可用性或共識處理。CertiK通過在私有的多節點Besu網絡上進行自我測試發現了這些漏洞，並私下向項目團隊報告。

Besu於7月27日首次發布26.7.1版本，作為安全更新，並敦促用戶升級。該版本解決了所有五個CertiK的發現以及其他安全問題。Besu的GitHub發布頁面將26.7.1標識為以安全為重點的更新，並感謝CertiK和EF Security的負責任披露。發布說明還引入了影響JSON-RPC過濾器和WebSocket訂閱的限制。

技術細節於8月14日公開，當時Besu發布了四個建議，涵蓋了五個CertiK的發現。每個建議都將26.7.1版本標識為修補版本。這一時機使運營商在詳細的漏洞信息公開之前就能獲得修補。這一協調序列使得用戶有時間升級，同時減少在修復可用之前不必要的詳細信息暴露。

CertiK將所有五個發現直接報告給Besu團隊。研究人員還提供了可重現的概念驗證測試工具，供Besu用來檢查行為。兩個團隊在Besu評估和修復問題的過程中進行了保密協調。他們僅在修補版本可用後才公開技術信息，遵循了源材料中描述的負責任披露過程。

CertiK在自我導向的研究中使用其Chain Scan對抗性測試方法識別了Besu的安全漏洞。該工作使用了一個私有的多節點Besu測試網絡。研究人員在點對點、HTTP RPC、WebSocket RPC和面向共識的接口中引入了可控故障。他們利用這些測試來檢查可用性和資源耗盡風險，這是在受控條件下進行的，而不是通過客戶參與。

這項研究沒有商業範疇。CertiK將五個發現的嚴重性評級從輕微到重大。受影響的領域包括區塊公告處理、未來高度共識提案的緩衝、WebSocket訂閱限制，以及在沒有有效上限的情況下創建JSON-RPC過濾器。這些領域涉及節點如何處理網絡消息、訂閱、遠程請求和與共識相關的數據。

在受影響的配置中，這些漏洞可能會消耗節點的內存或可用線程。這種資源壓力可能會干擾節點的可用性或共識處理。在26.7.1版本中可見的兩個修復增加了對活動JSON-RPC過濾器和WebSocket訂閱的限制，關閉了無界限資源增長的路徑。Besu在發布更新時敦促運營商轉向修補版本。

Besu發布建議創建了五個發現及其修復的公共記錄。該項目的發布說明還感謝CertiK和EF Security的負責任披露。根據Linux基金會去中心化信任，Besu是一個用Java編寫的開源以太坊客戶端，並在Apache 2.0下授權。該項目支持公共和私有網絡用例。

Besu作為以太坊主網和測試網的執行客戶端，同時也支持企業私有網絡。它提供命令行界面、JSON-RPC API和插件API，用於節點操作和擴展。CertiK成立於2017年，由耶魯大學和哥倫比亞大學的教授創立，聲稱已檢測到超過119,000個漏洞，並在150多個國家和地區保護了超過6000億美元的數字資產。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。