Les développeurs du client open-source Ethereum Besu ont corrigé cinq vulnérabilités de sécurité découvertes par Certik, une entreprise spécialisée dans la sécurité blockchain. Le 14 août, Besu a publié quatre avis de sécurité détaillés concernant ces cinq vulnérabilités, toutes résolues dans la version 26.7.1, initialement publiée le 27 juillet en tant que mise à jour de sécurité urgente.
Selon l'équipe de sécurité, le délai entre la sortie du correctif logiciel et la publication des détails des recommandations était intentionnel.
« L'efficacité vient d'une séquence d'actions, et non d'un simple délai de divulgation pour le plaisir de retarder », a déclaré Jialiang Chang, directeur de l'ingénierie de sécurité et partenaire principal d'audit chez Certik. « Besu a publié une version corrigée fin juillet et a clairement indiqué qu'elle corrigeait des vulnérabilités de sécurité, en recommandant une mise à jour aussi vite que possible ».
Chang a noté que le modèle « patch d'abord, détails ensuite » offre aux professionnels de la sécurité réseau un avantage décisif sur les attaquants potentiels.
« Cette approche donne aux défenseurs un petit avantage temporel avant que les mécanismes d'attaque précis ne soient largement disponibles », a expliqué Chang. « Les opérateurs de nœuds peuvent utiliser cette période pour identifier les déploiements affectés, évaluer quelles interfaces et voies de consensus sont à risque, tester la version dans un environnement de test, coordonner les mises à jour entre validateurs ou membres d'un consortium, et préparer des procédures de retour arrière et de surveillance ».
Selon Chang, cette période de préparation est particulièrement cruciale pour les blockchains institutionnelles ou autorisées, où les mises à jour exigent souvent des protocoles formels de gestion des changements et une coordination inter-organisationnelle. Le délai de divulgation réduit les risques d'exploitation immédiate pendant la période de vulnérabilité « N-day », tout en restant suffisamment court pour maintenir la transparence communautaire.
Les vulnérabilités ont été initialement identifiées lors d'une recherche autonome menée par Certik via sa méthodologie d'attaque « Chain Scan ». Travaillant sur un réseau de test privé avec plusieurs nœuds, sans financement externe de la part de clients, les chercheurs ont introduit des pannes contrôlées dans les interfaces de communication pair-à-pair, HTTP RPC, WebSocket RPC et celles liées au consensus.
Les résultats de la recherche, classés par Certik de mineurs à graves, incluaient des vulnérabilités dans le traitement des annonces de blocs, la mise en mémoire tampon des propositions de consensus pour des hauteurs futures, les limites d'abonnement WebSocket et la création de filtres JSON-RPC. Si elles n'étaient pas corrigées, ces vulnérabilités pourraient permettre à un attaquant d'épuiser la mémoire ou les ressources en threads d'un nœud, compromettant sa disponibilité et le processus de consensus.
Lacunes dans les modèles de test existants des clients
Certik a confidentiellement fourni à l'équipe Besu des ensembles de tests reproductibles prouvant les concepts, permettant aux développeurs d'évaluer et de corriger les vulnérabilités en privé avant la publication. Dans les notes de version 26.7.1, Besu a remercié Certik ainsi que le département de sécurité de l'Ethereum Foundation pour leur divulgation responsable.
Évoquant le paysage plus large de l'infrastructure des blockchains publiques, Chang a informé Bitcoin.com News que la communauté open-source évolue dans un environnement de sécurité hybride.
« L'écosystème évolue clairement vers des tests de sécurité plus formalisés », a déclaré Chang, citant les pratiques existantes comme le fuzzing différentiel, les simulations au niveau réseau, les réseaux privés d'attaque, les programmes de primes aux bugs et les cadres de fuzzing inter-clients devp2p.
Cependant, Chang a averti que la couverture des tests reste inégale à l'échelle de l'industrie.
« Les tests de conformité au protocole et de transition d'état sont souvent à un stade plus avancé que les tests continus d'épuisement des ressources, les conditions de compétition asynchrones, les comportements malveillants des nœuds, les dégradations prolongées des performances, les pannes de nettoyage et les configurations spécifiques au déploiement », a noté Chang. « Ces pannes peuvent initialement produire une sortie protocolaire correcte, tout en permettant à un attaquant à relativement faible coût de provoquer une consommation disproportionnée de mémoire, de threads, d'espace disque ou de ressources réseau ».
Les tests menés par les développeurs ne pouvant pas révéler tous les vecteurs d'attaque potentiels, Chang a souligné que la recherche par des experts tiers continue de jouer un rôle essentiel pour vérifier les hypothèses au-delà du développement de routine.
« Un modèle plus mature est continu et cumulatif : CI et fuzzing menés par les développeurs, tests multi-nœuds d'attaque, recherches indépendantes périodiques, ainsi que des tests de régression continus ou l'ajout d'un scénario d'attaque pour chaque vulnérabilité confirmée », a déclaré Chang, précisant que Certik développe sa plateforme Chain Scan pour soutenir ce modèle.
