- A Oak Security identificou uma vulnerabilidade no Cosmos SDK que agentes mal-intencionados podem explorar para ataques de negação de serviço distribuídos.
- Os pesquisadores observaram que a vulnerabilidade é um recurso e recomendaram correções que os desenvolvedores podem implementar para resolver o problema.
- O Cosmos SDK lançou uma nova versão com recursos e atualizações que atendem às preocupações dos desenvolvedores.
A empresa de segurança blockchain Oak Security levantou preocupações sobre uma vulnerabilidade no kit de desenvolvimento de software (SDK) da cadeia Cosmos que poderia levar a um ataque de Negação de Serviço Distribuído (DDoS) na rede. Em um post no Medium, dois pesquisadores da empresa, Edward Kotysh e Christian Vari, explicaram por que isso é um risco importante.
De acordo com os pesquisadores, a vulnerabilidade reside no fato de que as funções BeginBlock e EndBlock não estão sujeitas à medição de gás. Isso é intencional, pois permite que os desenvolvedores tenham algum tempo de computação gratuito, já que essas duas funções não afetam necessariamente as transações dos usuários.
No entanto, os especialistas em segurança alertaram que o que deveria ser uma pequena margem de manobra para os desenvolvedores poderia, na verdade, causar danos significativos às redes baseadas em Cosmos de várias formas. Isso inclui causar congestionamento na rede, afetar os validadores ou até mesmo levar a uma interrupção completa do serviço.
Disseram:
“Essa liberdade pode ser uma faca de dois gumes e pode abrir uma caixa de Pandora de vulnerabilidades potenciais. O principal problema é que, sem limites de gás, código mal otimizado ou malicioso em BeginBlock e EndBlock pode causar verdadeiros estragos.”
Os pesquisadores testaram suas teorias sobre o impacto potencial da vulnerabilidade por meio de experimentos. Em um dos experimentos, eles introduziram atrasos aleatórios na função BeginBlock em várias alturas de bloco, com atrasos variando de cinco segundos a um minuto.
A partir dos experimentos, os especialistas confirmaram que os atrasos levaram a um congestionamento substancial na rede, desacelerando seu progresso e aumentando o tempo necessário para concluir os blocos. Isso também afetou os validadores, com vários deles falhando em assinar os blocos nos horários exigidos e alguns perdendo completamente as fases de votação.
Não surpreendentemente, o número limitado de validadores disponíveis para assinar transações (menos de dois terços) significou que a cadeia de teste sofreu interrupções temporárias. Os pesquisadores observaram que isso poderia resultar em uma interrupção completa na mainnet, onde várias transações acontecem ao mesmo tempo e precisam ser finalizadas.
Oak Security recomenda correções para desenvolvedores
Enquanto isso, os especialistas em segurança recomendaram soluções para corrigir a vulnerabilidade antes que um ator mal-intencionado a explore. De acordo com eles, há a necessidade de implementar limites rigorosos de computação para que ninguém possa simplesmente adicionar qualquer vetor de ataque que cause computação excessiva.
Eles identificaram três maneiras diferentes de implementar essa solução. Isso inclui adicionar complexidade de tempo às funções BeginBlock e EndBlock para que não sejam executadas indefinidamente, envolvimento de contexto para manter operações intensivas em recursos em contextos medidos e validação de todas as entradas da função.
Além disso, eles pediram testes e simulações mais abrangentes para determinar como a vulnerabilidade poderia ser explorada e o potencial de seu impacto.
Eles também identificaram salvaguardas arquitetônicas e monitoramento operacional para garantir que as redes operem conforme as métricas padrão e detectem qualquer desvio significativo.
Cosmos SDK lança nova versão
Enquanto isso, a Cosmos SDK ainda não comentou sobre o relatório de segurança e se fará algo para abordar o problema de sua parte. Isso pode ser porque a vulnerabilidade identificada é, na verdade, um recurso de design e não um bug ou malware, como os recentes alertas de segurança sobre ataques à cadeia de suprimentos.
Felizmente, os desenvolvedores que usam a Cosmos SDK podem implementar a maioria das recomendações dos especialistas em segurança, permitindo que assumam o controle do que implantam e garantam que não seja vulnerável a ataques DDoS.
Curiosamente, o Cosmos SDK lançou recentemente sua versão v0.53.0. De acordo com o anúncio no X, a versão é uma resposta aos pontos de dor que os construtores levantaram sobre a versão anterior.
A versão mais recente, segundo relatos, vem com transações desordenadas, capacidades aprimoradas para pools da comunidade, mecanismos de governança personalizados, épocas e cunhagem personalizada. Ela também vem com correções de bugs, e os desenvolvedores já podem atualizá-la no GitHub.
A Cosmos SDK é uma ferramenta para desenvolvedores construírem facilmente suas próprias redes personalizadas e se integrarem à blockchain Cosmos, uma rede que busca se tornar a Internet das Blockchains.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
