Cosmos SDK中的安全漏洞可能导致DDoS攻击

区块链安全公司Oak Security对Cosmos链软件开发工具包（SDK）中的一个漏洞表示担忧，该漏洞可能导致网络上的分布式拒绝服务（DDoS）攻击。在一篇Medium文章中，该公司的两名研究人员Edward Kotysh和Christian Vari解释了为什么这是一个重大风险。

根据研究人员的说法，漏洞在于BeginBlock和EndBlock函数不受气体计量约束。这是出于设计目的，因为它允许开发人员拥有一些免费计算时间，因为这两个函数不一定影响用户交易。

然而，安全专家警告称，原本旨在为开发人员提供的小幅宽松实际上可能会以多种方式对基于Cosmos的网络造成重大损害。这包括导致网络拥塞、影响验证者，甚至导致完全中断。

他们表示：

“这种自由是一把双刃剑，它可能会打开潜在漏洞的潘多拉魔盒。主要问题在于，如果没有气体限制，BeginBlock和EndBlock中优化不佳或恶意的代码可能会造成严重破坏。”

研究人员通过在实验中测试漏洞的潜在影响来验证他们的理论。在其中一个实验中，他们在不同的区块高度向BeginBlock函数引入了随机延迟，延迟时间从五秒到一分钟不等。

从实验中，专家确认这些延迟导致网络严重拥塞，减缓了其进展并增加了完成区块所需的时间。它还影响了验证者，其中一些验证者未能按时签署区块，有些甚至完全错过了投票阶段。

毫不奇怪，可用于签署交易的验证者数量有限（少于三分之二），这意味着测试链经历了暂时中断。研究人员指出，这可能导致主网本身完全中断，因为主网上同时发生着许多需要最终确定的交易。

Oak Security建议开发人员修复

与此同时，安全专家建议在恶意行为者利用漏洞之前修复该漏洞。据他们称，需要实施严格的计算限制，以便任何人都不能简单地添加任何会导致过度计算的攻击向量。

他们确定了实施此解决方案的三种不同方法。这包括向BeginBlock和EndBlock函数添加时间复杂度，以防止它们无限运行；上下文包装，将资源密集型操作放入计量上下文中；以及对函数所有输入进行验证。

此外，他们呼吁进行更全面的测试和模拟，以确定漏洞如何被利用及其影响的潜力。

他们还确定了架构保障措施和运营监控，以确保网络按照标准指标运行并检测任何重大偏差。

Cosmos SDK发布新版本

与此同时，Cosmos SDK尚未就安全报告发表评论，也未说明是否会采取任何措施来解决其端的问题。这可能是因为确定的漏洞实际上是一个设计特性，而不是像近期供应链攻击安全警报那样的错误或恶意软件。

幸运的是，使用Cosmos SDK的开发人员可以实现安全专家的大多数建议，使他们能够控制部署内容并确保其不受DDoS攻击的影响。

有趣的是，Cosmos SDK最近推出了其版本v0.53.0。根据X上的公告，该版本是对构建者在先前版本中提出的痛点问题的回应。

据报道，最新版本包含无序交易、改进的社区池容量、自定义治理机制、纪元和自定义铸造。它还包含错误修复，开发人员已经可以在GitHub上升级到它。

Cosmos SDK是开发人员用来轻松构建自定义网络并与寻求成为区块链互联网的Cosmos区块链集成的工具。