Une faille de sécurité dans le Cosmos SDK pourrait permettre des attaques DDoS
- Oak Security identifie une vulnérabilité dans le Cosmos SDK que les acteurs malveillants peuvent exploiter pour des attaques par déni de service distribué.
- Les chercheurs ont noté que la vulnérabilité est liée à une fonctionnalité et ont recommandé des correctifs que les développeurs peuvent mettre en œuvre pour résoudre le problème.
- Le Cosmos SDK a lancé une nouvelle version avec des fonctionnalités et des mises à jour qui répondent aux préoccupations des développeurs.
La firme de sécurité blockchain Oak Security a exprimé des préoccupations concernant une vulnérabilité dans le kit de développement logiciel (SDK) de la chaîne Cosmos qui pourrait entraîner une attaque par déni de service distribué (DDoS) sur le réseau. Dans un article sur Medium, deux chercheurs de la firme, Edward Kotysh et Christian Vari, ont expliqué pourquoi il s’agit d’un risque majeur.
Selon les chercheurs, la vulnérabilité réside dans le fait que les fonctions BeginBlock et EndBlock ne sont pas soumises à la tarification du gaz. C’est intentionnel, car cela permet aux développeurs d’avoir un temps de calcul gratuit, ces deux fonctions n’affectant pas nécessairement les transactions des utilisateurs.
Cependant, les experts en sécurité ont averti que ce qui était censé être une marge de manœuvre mineure pour les développeurs pourrait en réalité causer des dommages importants aux réseaux basés sur Cosmos de plusieurs manières. Cela inclut la congestion du réseau, l’affectation des validateurs, ou même une panne complète.
Ils ont déclaré :
« Cette liberté peut être une épée à double tranchant et peut ouvrir une boîte de Pandore de vulnérabilités potentielles. Le problème principal est que sans limites de gaz, un code mal optimisé ou malveillant dans BeginBlock et EndBlock peut vraiment causer des dégâts. »
Les chercheurs ont testé leurs théories sur l’impact potentiel de la vulnérabilité en menant des expériences. Dans l’une des expériences, ils ont introduit des retards aléatoires dans la fonction BeginBlock à différentes hauteurs de bloc, avec des délais allant de cinq secondes à une minute.
À partir des expériences, les experts ont confirmé que les retards ont entraîné une congestion substantielle du réseau, ralentissant sa progression et augmentant le temps nécessaire pour compléter les blocs. Cela a également affecté les validateurs, plusieurs d’entre eux n’ayant pas signé les blocs aux moments requis et certains ayant manqué complètement les phases de vote.
Sans surprise, le nombre limité de validateurs disponibles pour signer les transactions (moins des deux tiers) a signifié que la chaîne de test a connu des pannes temporaires. Les chercheurs ont noté que cela pourrait entraîner une panne complète sur le mainnet lui-même, où plusieurs transactions se produisent simultanément et doivent être finalisées.
Oak Security recommande des correctifs pour les développeurs
Pendant ce temps, les experts en sécurité ont recommandé des solutions pour corriger la vulnérabilité avant qu’un acteur malveillant ne l’exploite. Selon eux, il est nécessaire de mettre en œuvre des limites de calcul strictes afin que personne ne puisse simplement ajouter un vecteur d’attaque qui entraînerait un calcul excessif.
Ils ont identifié trois différentes façons de mettre en œuvre cette solution. Celles-ci incluent l’ajout de complexité temporelle aux fonctions BeginBlock et EndBlock afin qu’elles ne s’exécutent pas indéfiniment, l’enveloppement de contexte pour maintenir les opérations intensives en ressources dans des contextes mesurés, et la validation de toutes les entrées de la fonction.
De plus, ils ont appelé à des tests et des simulations plus complets pour déterminer comment la vulnérabilité pourrait être exploitée et le potentiel de son impact.
Ils ont également identifié des sauvegardes architecturales et une surveillance opérationnelle pour s’assurer que les réseaux fonctionnent selon des métriques standard et détecter toute déviation significative.
Lancement d’une nouvelle version du Cosmos SDK
Pendant ce temps, le Cosmos SDK n’a pas encore commenté le rapport de sécurité et s’il fera quoi que ce soit pour résoudre le problème de leur côté. Cela pourrait être parce que la vulnérabilité identifiée est en fait une fonctionnalité de conception et non un bug ou un logiciel malveillant, comme les récentes alertes de sécurité sur les attaques de la chaîne d’approvisionnement.
Heureusement, les développeurs utilisant le Cosmos SDK peuvent mettre en œuvre la plupart des recommandations des experts en sécurité, leur permettant de prendre le contrôle de ce qu’ils déploient et de s’assurer qu’il n’est pas vulnérable aux attaques DDoS.
Il est intéressant de noter que Cosmos SDK a récemment lancé sa version v0.53.0. Selon l’annonce sur X, la version est une réponse aux points de douleur soulevés par les développeurs concernant la version précédente.
La dernière version serait dotée de transactions non ordonnées, de capacités améliorées pour les pools communautaires, de mécanismes de gouvernance personnalisés, d’époques et de frappe personnalisée. Elle comprend également des corrections de bugs, et les développeurs peuvent déjà mettre à niveau vers celle-ci sur GitHub.
Cosmos SDK est un outil permettant aux développeurs de construire facilement leur propre réseau personnalisé et de s’intégrer à la blockchain Cosmos, un réseau cherchant à devenir l’Internet des blockchains.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
