Уязвимость в Cosmos SDK может привести к DDoS-атакам

Компания по безопасности блокчейна Oak Security выразила обеспокоенность по поводу уязвимости в инструментарии разработки (SDK) для сети Cosmos, которая может привести к распределенной атаке типа «отказ в обслуживании» (DDoS) на сеть. В публикации на Medium два исследователя компании, Эдвард Котыш и Кристиан Вари, объяснили, почему это представляет серьезную угрозу.

Согласно исследователям, уязвимость заключается в том, что функции BeginBlock и EndBlock не подлежат измерению газа (gas metering). Это сделано намеренно, так как это позволяет разработчикам иметь некоторое бесплатное время вычислений, поскольку эти две функции не обязательно влияют на транзакции пользователей.

Однако эксперты по безопасности предупредили, то, что задумывалось как небольшая свобода действий для разработчиков, на самом деле может нанести значительный ущерб сетям на базе Cosmos несколькими способами. В их числе — создание перегрузки сети, влияние на валидаторов или даже полный выход из строя.

Они заявили:

"Эта свобода может оказаться обоюдоострым мечом и открыть ящик Пандоры потенциальных уязвимостей. Основная проблема заключается в том, что без ограничений на газ неоптимизированный или вредоносный код в функциях BeginBlock и EndBlock может нанести серьезный ущерб."

Исследователи проверили свои теории о потенциальном воздействии уязвимости, проведя эксперименты. В одном из экспериментов они внесли случайные задержки в функцию BeginBlock на различных высотах блоков, при этом задержки составляли от пяти секунд до одной минуты.

По результатам экспериментов эксперты подтвердили, что задержки привели к значительной перегрузке сети, замедлив ее работу и увеличив время, необходимое для завершения блоков. Это также повлияло на валидаторов: несколько из них не смогли подписать блоки в требуемые сроки, а некоторые полностью пропустили фазы голосования.

Неудивительно, что ограниченное количество валидаторов, доступных для подписания транзакций (менее двух третей), привело к временным перебоям в работе тестовой сети. Исследователи отметили, что это может привести к полному отказу основной сети (mainnet), где одновременно происходит множество транзакций, требующих завершения.

Oak Security рекомендует исправления для разработчиков

Тем временем эксперты по безопасности рекомендовали решения для устранения уязвимости до того, как злоумышленники смогут ею воспользоваться. По их мнению, необходимо внедрить строгие ограничения на вычисления, чтобы никто не мог просто добавить вектор атаки, вызывающий чрезмерные вычислительные затраты.

Они выделили три различных способа реализации этого решения. В их числе: добавление временной сложности в функции BeginBlock и EndBlock, чтобы они не выполнялись бесконечно; использование обертки контекста для ограничения ресурсоемких операций измеримыми контекстами; а также проверка всех входных данных функции.

Кроме того, они призвали к более комплексному тестированию и моделированию, чтобы определить, как может быть использована уязвимость и каков потенциал ее воздействия.

Они также выделили архитектурные средства защиты и операционный мониторинг для обеспечения работы сетей в соответствии со стандартными метриками и выявления любых значительных отклонений.

Выпуск новой версии Cosmos SDK

Тем временем Cosmos SDK пока не прокомментировал отчет о безопасности и не сообщил, предпримет ли он какие-либо действия для решения проблемы на своей стороне. Возможно, это связано с тем, что выявленная уязвимость на самом деле является функцией дизайна, а не ошибкой или вредоносным ПО, как в недавних предупреждениях о атаках на цепочки поставок.

К счастью, разработчики, использующие Cosmos SDK, могут реализовать большинство рекомендаций экспертов по безопасности, что позволит им контролировать то, что они развертывают, и убедиться, что оно не уязвимо для DDoS-атак.

Интересно, что Cosmos SDK недавно выпустил свою версию v0.53.0. Согласно объявлению в X, версия является ответом на болевые точки, которые разработчики подняли по поводу предыдущей версии.

По сообщениям, последняя версия включает неупорядоченные транзакции, улучшенные возможности для общинных пулов, пользовательские механизмы управления, эпохи и пользовательское эмиссионное управление. В нее также внесены исправления ошибок, и разработчики уже могут обновиться до нее на GitHub.

Cosmos SDK — это инструмент для разработчиков, позволяющий легко создавать собственные настроенные сети и интегрироваться с блокчейном Cosmos, сетью, стремящей стать «Интернетом блокчейнов».