A Besu, plataforma de software que sustenta redes de tecnologia de registro distribuído, revelou no dia 14 de agosto alertas detalhados sobre segurança. Quatro desses comunicados contemplavam cinco vulnerabilidades que haviam sido identificadas pela empresa Certik e sanadas na versão 26.7.1 do sistema, disponibilizada em 27 de julho.
A empresa Certik reportou todas as cinco descobertas diretamente à equipe responsável pela Besu, além de ter fornecido estruturas de teste com provas de conceito que podiam ser reproduzidas. As equipes atuaram de forma coordenada e em sigilo enquanto a Besu analisava e resolvia cada problema apresentado.
Os detalhes técnicos só foram tornados públicos após a disponibilização da versão com as correções, o que permitiu aos operadores de rede atualizarem seus sistemas antes de qualquer exposição. A Certik utilizou sua metodologia própria de testes adversariais, chamada Chain Scan, durante uma pesquisa independente. Os pesquisadores empregaram uma rede de testes privada da Besu, composta por diversos nós, para introduzir falhas controladas em interfaces de comunicação entre pares, chamadas HTTP RPC, conexões WebSocket RPC e componentes que interagem com o mecanismo de consenso.
As vulnerabilidades descobertas abrangiam o processamento de anúncios de blocos, o armazenamento temporário de propostas de consenso para alturas futuras, limites de assinaturas através de WebSocket e a criação ilimitada de filtros JSON-RPC. Em configurações específicas afetadas, tais falhas poderiam esgotar a memória ou a capacidade de processos paralelos do nó, comprometendo sua disponibilidade ou o processamento do consenso.
Nas notas de lançamento da atualização, a Besu agradeceu publicamente à Certik e à organização EF Security por suas divulgações responsáveis. A Besu é um cliente de código aberto para Ethereum, desenvolvido na linguagem de programação Java e distribuído sob a licença Apache 2.0. O projeto é mantido pela fundação Linux Foundation Decentralized Trust e anteriormente era reconhecido como Hyperledger Besu.
A plataforma funciona como cliente de execução na rede principal do Ethereum e em ambientes de teste como Hoodi, Ephemery e Sepolia. Além disso, oferece suporte a redes privadas corporativas que necessitam de processamento seguro e eficiente de transações. A Besu fornece uma interface de linha de comando e uma API JSON-RPC para operação de nós, permitindo também a expansão de funcionalidades através de sua interface de plugins.
A Certik, empresa de segurança especializada no universo Web3 e com sede na cidade de Nova York, consolidou-se desde sua fundação em 2017 como parceira estratégica na gestão de riscos para reguladores, instituições e empresas inovadoras ao redor do mundo. A organização desenvolveu soluções de gestão de riscos baseadas em inteligência artificial que cobrem todo o ciclo de vida dos sistemas, integrando-se diretamente aos processos de desenvolvimento de software de clientes institucionais. Até o momento, a Certik identificou mais de 119 mil vulnerabilidades e protegeu valores superiores a 600 bilhões de dólares em ativos digitais em mais de 150 países e regiões. A empresa opera em conformidade com os padrões internacionais SOC 2 Tipo II e ISO 27001.
Fonte: Livecoins
