- Oak Security identifiziert eine Schwachstelle in der Cosmos SDK, die von böswilligen Akteuren für Distributed-Denial-of-Service-Angriffe (DDoS) ausgenutzt werden kann.
- Die Forscher wiesen darauf hin, dass es sich um ein Feature handelt, und empfahlen Korrekturmaßnahmen, die Entwickler zur Behebung des Problems implementieren können.
- Cosmos SDK hat eine neue Version mit Funktionen und Updates veröffentlicht, die den Bedenken der Entwickler Rechnung tragen.
Die Blockchain-Sicherheitsfirma Oak Security hat Bedenken bezüglich einer Verwundbarkeit im Software Development Kit (SDK) der Cosmos-Chain geäußert, die zu einem Distributed-Denial-of-Service-(DDoS)-Angriff auf das Netzwerk führen könnte. In einem Medium-Beitrag erklärten zwei Forscher der Firma, Edward Kotysh und Christian Vari, warum dies ein großes Risiko darstellt.
Laut den Forschern liegt die Verwundbarkeit darin, dass die Funktionen BeginBlock und EndBlock nicht der Gas-Messung unterliegen. Dies ist beabsichtigt, da es Entwicklern ermöglicht, eine gewisse kostenlose Rechenzeit zu haben, da diese beiden Funktionen die Transaktionen der Benutzer nicht unbedingt beeinflussen.
Die Sicherheitsexperten warnten jedoch, dass das, was als kleine Toleranz für Entwickler gedacht war, Cosmos-basierte Netzwerken auf verschiedene Weise erheblichen Schaden zufügen könnte. Dazu gehören die Verursachung von Netzwerkkongestion, die Beeinträchtigung von Validatoren oder sogar das Führen zu einem vollständigen Ausfall.
Sie sagten:
„Diese Freiheit kann eine zweischneidige Schwert sein und eine Pandora-Box potenzieller Verwundbarkeiten öffnen. Das Hauptproblem ist, dass schlecht optimierter oder bösartiger Code in BeginBlock und EndBlock ohne Gasgrenzen wirklich Chaos anrichten kann.“
Die Forscher testeten ihre Theorien über die potenziellen Auswirkungen der Verwundbarkeit, indem sie Experimente durchführten. In einem der Experimente führten sie randomisierte Verzögerungen für die BeginBlock-Funktion auf verschiedenen Blockhöhen ein, wobei die Verzögerungen zwischen fünf Sekunden und einer Minute lagen.
Aus den Experimenten bestätigten die Experten, dass die Verzögerungen zu erheblicher Netzwerkkongestion führten, den Fortschritt verlangsamt und die Zeit für die Fertigstellung von Blöcken erhöht haben. Sie betrafen auch Validatoren, wobei mehrere von ihnen nicht rechtzeitig Blöcke signierten und einige die Abstimmungsphasen vollständig verpassten.
Unüblicherweise bedeutete die begrenzte Anzahl von Validatoren, die Transaktionen signieren konnten (weniger als zwei Drittel), dass die Testkette vorübergehende Ausfälle erlitt. Die Forscher bemerkten, dass dies zu einem vollständigen Ausfall im Mainnet führen könnte, wo mehrere Transaktionen gleichzeitig stattfinden, die abgeschlossen werden müssen.
Oak Security empfiehlt Entwicklern Lösungen
Inzwischen haben die Sicherheitsexperten Lösungen zur Behebung der Verwundbarkeit empfohlen, bevor ein böswilliger Akteur sie ausnutzt. Ihnen zufolge besteht die Notwendigkeit, strenge Berechnungsgrenzen zu implementieren, damit niemand einfach jeden Angriffsvektor hinzufügen kann, der übermäßige Berechnungen verursacht.
Sie identifizierten drei verschiedene Möglichkeiten, diese Lösung zu implementieren. Dazu gehören die Hinzufügung der Zeitkomplexität zu den Funktionen BeginBlock und EndBlock, damit sie nicht endlos laufen, das Context-Wrapping, um ressourcenintensive Operationen in gemessene Kontexte zu integrieren, und die Validierung aller Eingaben für die Funktion.
Zusätzlich forderten sie umfassendere Tests und Simulationen, um zu bestimmen, wie die Verwundbarkeit ausgenutzt werden könnte und welches Potenzial ihre Auswirkungen haben.
Sie identifizierten auch architektonische Schutzmaßnahmen und operatives Monitoring, um sicherzustellen, dass die Netzwerke nach Standardmetriken arbeiten und jede signifikante Abweichung erkennen.
Cosmos SDK startet neue Version
Inzwischen hat das Cosmos SDK noch nicht zum Sicherheitsbericht Stellung genommen und ob es etwas tun wird, um das Problem auf ihrer Seite anzugehen. Dies könnte daran liegen, dass die identifizierte Verwundbarkeit tatsächlich ein Designmerkmal und kein Fehler oder Malware ist, wie bei jüngsten Sicherheitswarnungen zu Supply-Chain-Angriffen.
Glücklicherweise können Entwickler, die das Cosmos SDK nutzen, die meisten Empfehlungen der Sicherheitsexperten implementieren, wodurch sie die Kontrolle über das, was sie bereitstellen, übernehmen und sicherstellen können, dass es nicht anfällig für DDoS-Angriffe ist.
Interessanterweise hat das Cosmos SDK kürzlich seine Version v0.53.0 veröffentlicht. Laut der Ankündigung auf X ist die Version eine Reaktion auf die Schmerzpunkte, die Entwickler bezüglich der vorherigen Version geäußert haben.
Die neueste Version soll angeblich unsortierte Transaktionen, verbesserte Kapazitäten für Community-Pools, benutzerdefinierte Governance-Mechanismen, Epochen und benutzerdefinierte Prägung mit sich bringen. Sie enthält auch Fehlerbehebungen, und Entwickler können bereits auf GitHub darauf upgraden.
Cosmos SDK ist ein Tool für Entwickler, um einfach ihre eigenen maßgeschneiderten Netzwerke zu erstellen und sich in die Cosmos-Blockchain zu integrieren, ein Netzwerk, das dazu strebt, das Internet der Blockchains zu werden.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
