Fallo de seguridad en Cosmos SDK podría permitir ataques DDoS
- Oak Security identifica una vulnerabilidad en Cosmos SDK que actores maliciosos pueden explotar para realizar ataques de denegación de servicio distribuidos.
- Los investigadores señalaron que la vulnerabilidad es un fallo de característica y recomendaron correcciones que los desarrolladores pueden implementar para abordar el problema.
- Cosmos SDK ha lanzado una nueva versión con características y actualizaciones que abordan las preocupaciones de los desarrolladores.
La firma de seguridad blockchain Oak Security ha planteado preocupaciones sobre una vulnerabilidad en el kit de desarrollo de software (SDK) de la cadena Cosmos que podría provocar un ataque de denegación de servicio distribuido (DDoS) en la red. En una publicación en Medium, dos de los investigadores de la firma, Edward Kotysh y Christian Vari, explicaron por qué esto representa un riesgo importante.
Según los investigadores, la vulnerabilidad radica en el hecho de que las funciones BeginBlock y EndBlock no están sujetas a la medición de gas. Esto es intencionado, ya que permite a los desarrolladores tener algo de tiempo de cómputo gratuito, ya que estas dos funciones no necesariamente afectan a las transacciones de los usuarios.
Sin embargo, los expertos en seguridad advirtieron que lo que se pretendía como una pequeña holgura para los desarrolladores podría en realidad causar daños significativos a las redes basadas en Cosmos de varias maneras. Esto incluye causar congestión en la red, afectar a los validadores o incluso provocar un corte total del servicio.
Dijeron:
“Esta libertad puede ser un arma de doble filo y puede abrir una caja de Pandora de vulnerabilidades potenciales. El problema principal es que, sin límites de gas, el código mal optimizado o malicioso en BeginBlock y EndBlock puede causar verdaderos estragos.”
Los investigadores probaron sus teorías sobre el impacto potencial de la vulnerabilidad realizando experimentos. En uno de los experimentos, introdujeron retrasos aleatorios en la función BeginBlock en varias alturas de bloque, con retrasos que oscilaban entre cinco segundos y un minuto.
A partir de los experimentos, los expertos confirmaron que los retrasos provocaron una congestión sustancial en la red, ralentizando su progreso y aumentando el tiempo necesario para completar los bloques. También afectó a los validadores, con varios de ellos que no lograron firmar los bloques en los tiempos requeridos y algunos que perdieron completamente las fases de votación.
No es de extrañar que el número limitado de validadores disponibles para firmar transacciones (menos de dos tercios) significara que la cadena de prueba experimentó cortes temporales. Los investigadores señalaron que esto podría resultar en un corte total en la mainnet misma, donde hay varias transacciones ocurriendo al mismo tiempo que necesitan ser finalizadas.
Oak Security recomienda correcciones para los desarrolladores
Mientras tanto, los expertos en seguridad han recomendado soluciones para corregir la vulnerabilidad antes de que un actor malicioso la explote. Según ellos, es necesario implementar límites estrictos de cómputo para que nadie pueda simplemente añadir cualquier vector de ataque que cause un cómputo excesivo.
Identificaron tres formas diferentes de implementar esta solución. Estas incluyen añadir complejidad temporal a las funciones BeginBlock y EndBlock para que no se ejecuten indefinidamente, envoltura de contexto para mantener las operaciones intensivas en recursos en contextos medidos, y validación de todas las entradas a la función.
Además, instaron a realizar pruebas y simulaciones más exhaustivas para determinar cómo podría explotarse la vulnerabilidad y el potencial de su impacto.
También identificaron salvaguardas arquitectónicas y monitoreo operativo para garantizar que las redes operen según métricas estándar y detectar cualquier desviación significativa.
Cosmos SDK lanza nueva versión
Mientras tanto, Cosmos SDK aún no ha comentado sobre el informe de seguridad ni si hará algo para abordar el problema por su parte. Esto podría deberse a que la vulnerabilidad identificada es en realidad una característica de diseño y no un error o malware, como los recientes avisos de seguridad sobre ataques a la cadena de suministro.
Afortunadamente, los desarrolladores que utilizan Cosmos SDK pueden implementar la mayoría de las recomendaciones de los expertos en seguridad, lo que les permite tomar el control de lo que despliegan y asegurarse de que no sea vulnerable a ataques DDoS.
Curiosamente, Cosmos SDK lanzó recientemente su versión v0.53.0. Según el anuncio en X, la versión es una respuesta a los puntos dolorosos que los desarrolladores plantearon sobre la versión anterior.
La última versión reportedly viene con transacciones desordenadas, capacidades mejoradas para los fondos comunitarios, mecanismos de gobernanza personalizados, épocas y acuñación personalizada. También viene con correcciones de errores, y los desarrolladores ya pueden actualizar a ella en GitHub.
Cosmos SDK es una herramienta para que los desarrolladores construyan fácilmente sus propias redes personalizadas e integren con la blockchain de Cosmos, una red que busca convertirse en el Internet de las Blockchains.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
