Besu安全漏洞在26.7.1版本中修复

Besu在7月27日发布的26.7.1版本中修复了五个CertiK发现的漏洞。

总结

• 在公开发布完整技术建议之前，Besu在26.7.1版本中修复了五个CertiK报告的漏洞。
• CertiK在独立安全研究中发现了网络、RPC、WebSocket和共识接口的资源耗尽风险。
• 协调披露使Besu运营者有时间在详细漏洞信息公开之前进行升级。

Besu在8月14日发布了详细的建议，涵盖了五个由CertiK发现并在7月27日的26.7.1版本中修复的安全漏洞。

这些问题影响了基于Java的以太坊客户端，涉及点对点、RPC、WebSocket和共识接口。在受影响的配置下，它们可能会耗尽内存或线程容量，从而干扰节点可用性或共识处理。CertiK通过在一个私有的多节点Besu网络上进行自主测试发现了这些漏洞，并私下向项目团队报告。

Besu于7月27日首次发布26.7.1版本作为安全更新，并敦促用户进行升级。该版本解决了所有五个CertiK发现的问题以及其他安全问题。Besu的GitHub发布页面将26.7.1标识为以安全为重点的更新，并对CertiK和EF Security的负责任披露表示感谢。发布说明还引入了影响JSON-RPC过滤器和WebSocket订阅的限制。

技术细节在8月14日公开，当时Besu发布了四个建议，涵盖了五个CertiK发现。每个建议都将26.7.1版本标识为修复版本。这个时机使运营者在详细的弱点信息公开之前就能获得修复方案。这种协调的顺序使用户有时间进行升级，同时减少在修复可用之前不必要的细节曝光。

CertiK直接向Besu团队报告了所有五个发现。研究人员还提供了可重复的概念验证测试工具，Besu可以用来检查行为。两队在Besu评估和修复问题时进行了保密协调。他们仅在修复版本可用后才公开技术信息，遵循了源材料中描述的负责任披露流程。

CertiK在使用其Chain Scan对抗性测试方法进行自主研究时识别了Besu安全漏洞。该工作使用了一个私有的多节点Besu测试网络。研究人员在点对点、HTTP RPC、WebSocket RPC和共识接口中引入了受控故障。他们利用这些测试在受控条件下检查可用性和资源耗尽风险，而不是通过客户参与。

该研究没有商业范围。CertiK将五个发现的严重性从轻微到重大进行了评级。受影响的领域包括区块公告处理、未来高度共识提案的缓冲、WebSocket订阅限制，以及没有有效上限的JSON-RPC过滤器创建。这些领域涉及节点如何处理网络消息、订阅、远程请求和与共识相关的数据。

在受影响的配置中，这些弱点可能会消耗节点内存或可用线程。这种资源压力可能会干扰节点可用性或共识处理。在26.7.1版本中可见的两个修复增加了对活动JSON-RPC过滤器和WebSocket订阅的限制，关闭了无限资源增长的路径。Besu在发布更新时敦促运营者迁移到修复版本。

Besu发布建议创建了五个发现及其修复的公共记录。该项目的发布说明还承认了CertiK和EF Security的各自负责任披露。根据Linux基金会去中心化信任，Besu是一个用Java编写的开源以太坊客户端，采用Apache 2.0许可证。该项目支持公共和私有网络的使用案例。

Besu作为以太坊主网和测试网的执行客户端，同时也支持企业私有网络。它提供了命令行接口、JSON-RPC API和插件API用于节点操作和扩展。CertiK成立于2017年，由耶鲁大学和哥伦比亚大学的教授创办，声称已检测到超过119,000个漏洞，并在150多个国家和地区保护了超过6000亿美元的数字资产。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。