Vulnerabilità di sicurezza in Cosmos SDK potrebbe consentire attacchi DDoS
- Oak Security individua una vulnerabilità in Cosmos SDK che gli attori malintenzionati possono sfruttare per attacchi denial of service distribuiti.
- I ricercatori hanno notato che la vulnerabilità è legata a una funzionalità e hanno raccomandato le correzioni che gli sviluppatori possono implementare per risolvere il problema.
- Cosmos SDK ha lanciato una nuova versione con funzionalità e aggiornamenti che affrontano le preoccupazioni degli sviluppatori.
La società di sicurezza blockchain Oak Security ha espresso preoccupazioni per una vulnerabilità nel kit di sviluppo software (SDK) della catena Cosmos che potrebbe portare a un attacco Distributed Denial of Service (DDoS) sulla rete. In un post su Medium, due dei ricercatori della società, Edward Kotysh e Christian Vari, hanno spiegato perché questo è un rischio importante.
Secondo gli ricercatori, la vulnerabilità risiede nel fatto che le funzioni BeginBlock e EndBlock non sono soggette a misurazione del gas. Questo è intenzionale, poiché consente agli sviluppatori di avere un po' di tempo di calcolo gratuito, poiché queste due funzioni non influenzano necessariamente le transazioni degli utenti.
Tuttavia, gli esperti di sicurezza hanno avvertito che ciò che era destinato a essere una piccola flessibilità per gli sviluppatori potrebbe in realtà causare danni significativi alle reti basate su Cosmos in diversi modi. Questi includono causare congestione della rete, influenzare i validatori o persino portare a un'interruzione completa.
Hanno dichiarato:
"Questa libertà può essere una spada a doppio taglio e può aprire una scatola di Pandora di potenziali vulnerabilità. Il problema principale è che senza limiti di gas, codice scarsamente ottimizzato o malevolo in BeginBlock e EndBlock può davvero fare danni."
I ricercatori hanno testato le loro teorie sull'impatto potenziale della vulnerabilità conducendo esperimenti. In uno degli esperimenti, hanno introdotto ritardi casuali nella funzione BeginBlock a varie altezze di blocco, con ritardi che andavano da cinque secondi a un minuto.
Dagli esperimenti, gli esperti hanno confermato che i ritardi hanno portato a una sostanziale congestione nella rete, rallentandone il progresso e aumentando il tempo necessario per completare i blocchi. Ha anche influenzato i validatori, con diversi di loro che non sono riusciti a firmare i blocchi nei tempi richiesti e alcuni che hanno perso completamente le fasi di votazione.
Non sorprende che il numero limitato di validatori disponibili per firmare le transazioni (meno di due terzi) abbia significato che la catena di test ha sperimentato interruzioni temporanee. I ricercatori hanno notato che questo potrebbe risultare in un'interruzione completa sulla mainnet stessa, dove ci sono diverse transazioni che avvengono contemporaneamente che devono essere finalizzate.
Oak Security raccomanda correzioni per gli sviluppatori
Nel frattempo, gli esperti di sicurezza hanno raccomandato soluzioni per correggere la vulnerabilità prima che un cattivo attore la sfrutti. Secondo loro, c'è la necessità di implementare limiti di calcolo rigorosi in modo che nemmeno chiunque possa semplicemente aggiungere qualsiasi vettore di attacco che causerà un calcolo eccessivo.
Hanno identificato tre modi diversi per implementare questa soluzione. Questi includono l'aggiunta di complessità temporale alle funzioni BeginBlock e EndBlock in modo che non vengano eseguite indefinitamente, il wrapping del contesto per mantenere le operazioni intensive di risorse in contesti misurati e la convalida di tutti gli input alla funzione.
Inoltre, hanno chiesto test e simulazioni più completi per determinare come la vulnerabilità potrebbe essere sfruttata e il potenziale del suo impatto.
Hanno anche identificato salvaguardie architetturali e monitoraggio operativo per garantire che le reti operino secondo metriche standard e rilevino qualsiasi deviazione significativa.
Cosmos SDK lancia una nuova versione
Nel frattempo, Cosmos SDK non ha ancora commentato il rapporto sulla sicurezza e se farà qualcosa per affrontare il problema dalla loro parte. Questo potrebbe essere perché la vulnerabilità identificata è in realtà una caratteristica di progettazione e non un bug o un malware, come i recenti avvisi di sicurezza sugli attacchi alla catena di approvvigionamento.
Fortunatamente, gli sviluppatori che utilizzano Cosmos SDK possono implementare la maggior parte delle raccomandazioni degli esperti di sicurezza, consentendo loro di prendere il controllo di ciò che distribuiscono e assicurarsi che non sia vulnerabile ad attacchi DDoS.
Curiosamente, Cosmos SDK ha recentemente lanciato la sua versione v0.53.0. Secondo l'annuncio su X, la versione è una risposta ai punti dolenti che i builder hanno sollevato sulla versione precedente.
L'ultima versione, secondo quanto riportato, viene con transazioni non ordinate, capacità migliorate per i pool della comunità, meccanismi di governance personalizzati, epoch e coniazione personalizzata. Viene anche con correzioni di bug, e gli sviluppatori possono già effettuare l'upgrade su GitHub.
Cosmos SDK è uno strumento per gli sviluppatori per costruire facilmente la propria rete personalizzata e integrarsi con la blockchain Cosmos, una rete che cerca di diventare l'Internet delle Blockchain.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
