Los desarrolladores del cliente abierto de Ethereum, Besu, han resuelto cinco vulnerabilidades de seguridad descubiertas por la empresa especializada en seguridad blockchain Certik. El 14 de agosto, Besu publicó cuatro avisos de seguridad detallados sobre estas cinco vulnerabilidades, todas resueltas en la versión 26.7.1, lanzada inicialmente el 27 de julio como una actualización de seguridad urgente.
Según la guía del servicio de seguridad, el retraso entre el lanzamiento del parche de software y la publicación de los detalles del aviso fue intencional.
"La efectividad se logra mediante una secuencia de acciones, no retrasando la divulgación por el mero hecho de retrasarla", dijo Jialiang Chang, Director de Ingeniería de Seguridad y Socio Senior de Auditoría en Certik. "Besu lanzó una versión parcheada a finales de julio y señaló claramente que solucionaba vulnerabilidades de seguridad, instando a actualizar lo antes posible".
Chang destacó que el modelo "parche primero, detalles después" otorga a los profesionales de seguridad de la red una ventaja crucial sobre potenciales atacantes.
"Este enfoque da a los defensores una pequeña ventaja temporal antes de que los mecanismos exactos de ataque sean ampliamente conocidos", explicó Chang. "Los operadores de nodos pueden usar este período para identificar despliegues afectados, evaluar qué interfaces y rutas de consenso están en riesgo, probar la versión en un entorno de pruebas, coordinar actualizaciones entre validadores o participantes del consorcio, y preparar procedimientos de reversión y monitoreo".
Según Chang, este período de preparación es especialmente importante para redes blockchain institucionales o autorizadas, donde las actualizaciones a menudo requieren protocolos formales de gestión de cambios y coordinación interorganizacional. Retrasar la divulgación reduce los riesgos de explotación inmediata durante los 'días-N', manteniéndose lo suficientemente breve para preservar la transparencia ante la comunidad.
Las vulnerabilidades se identificaron inicialmente durante una investigación propia de Certik utilizando su metodología de ataque "Chain Scan". Operando en una red de pruebas privada con múltiples nodos sin financiación externa de clientes, los investigadores inyectaron fallos controlados en las interfaces de comunicación entre pares (P2P), HTTP RPC, WebSocket RPC y las relacionadas con el consenso.
Los hallazgos de la investigación, clasificados por Certik desde menor hasta alta severidad, incluyeron vulnerabilidades en el procesamiento de anuncios de bloques, el almacenamiento en búfer de propuestas de consenso para alturas futuras, los límites de suscripciones WebSocket y la creación de filtros JSON-RPC. Si no se solucionan, estas vulnerabilidades podrían permitir a un atacante agotar la memoria del nodo o los recursos de hilos (threads), comprometiendo la disponibilidad del nodo y el proceso de consenso.
Brechas en los modelos de prueba existentes para clientes
Certik proporcionó de forma confidencial al equipo de Besu conjuntos de pruebas reproducibles de prueba de concepto, permitiendo a los desarrolladores evaluar y resolver las vulnerabilidades de manera privada antes del lanzamiento. En las notas de la versión 26.7.1, Besu agradeció tanto a Certik como al departamento de seguridad de la Ethereum Foundation por la divulgación responsable.
Hablando sobre el panorama más amplio de la infraestructura de blockchains públicas, Chang comentó a Bitcoin.com News que la comunidad de código abierto opera en un entorno de seguridad híbrido.
"El ecosistema claramente se mueve hacia pruebas de seguridad más formalizadas", dijo Chang, señalando prácticas existentes como el fuzzing diferencial, simulaciones a nivel de red, redes privadas para ataques, programas de recompensas por errores y marcos de fuzzing devp2p entre clientes.
Sin embargo, Chang advirtió que la cobertura de pruebas sigue siendo desigual en toda la industria.
"Las pruebas de conformidad con el protocolo y transiciones de estado a menudo están en una etapa más madura que las pruebas continuas de agotamiento de recursos, condiciones de carrera asincrónicas, comportamiento malicioso de nodos, degradación prolongada del rendimiento, fallos de limpieza y configuraciones específicas de despliegue", señaló Chang. "Estos fallos pueden inicialmente producir una salida protocolaria correcta, mientras permiten a un atacante con costos relativamente bajos causar un consumo desproporcionadamente alto de memoria, hilos, espacio en disco o recursos de red".
Dado que las pruebas realizadas por los desarrolladores no pueden descubrir todos los posibles vectores de ataque, Chang enfatizó que las investigaciones de expertos externos aún juegan un papel vital para probar supuestos más allá del desarrollo rutinario.
"Un modelo más maduro es continuo y acumulativo: CI y fuzzing realizados por desarrolladores, pruebas de ataque multinodo, investigaciones independientes periódicas, y pruebas de regresión continuas o escenarios de ataque añadidos por cada vulnerabilidad confirmada", dijo Chang, señalando que Certik está desarrollando su plataforma Chain Scan para apoyar este modelo.
