ГлавнаяBlockchainСпециалисты по безопасности Cisco сообщили о «множестве уязвимостей» в популярных клиентах Ethereum

Специалисты по безопасности Cisco сообщили о «множестве уязвимостей» в популярных клиентах Ethereum

Cisco

Специализирующееся на киберугрозах подразделение технологического конгломерата Cisco Systems Inc. обнаружило целый ряд уязвимостей в программном обеспечении Ethereum-клиентов Parity и Ethereum.

Как пришли к выводу специалисты Cisco, неправильная обработка смарт-контрактов операционным кодом create2 может спровоцировать DoS-атаку. Злоумышленник может задействовать функцию SHA1 для обработки огромного количества данных.

Внедрение create2 в основную сеть Ethereum запланировано в рамках второй фазы хардфорка Metropolis под названием Constantinople.

Указанная уязвимость на данный момент угрожает только тем нодам, которые уже используют опкод create2. Однако в потенциале сеть Ethereum может столкнуться с риском одновременной атаки на все ноды сразу после осуществления хардфорка, когда create2 войдет в список настроек по умолчанию.

Кроме того, считают в Cisco, злоумышленник может получить конфиденциальные информацию в виде адреса смарт-контракта в результате утечки данных в виртуальной машине Ethereum (EVM), сообщает forklog.com.

ПО Ethereum-клиента Parity написано на языке программирования Rust и по умолчанию предоставляет интерфейс JSON-RPC, поддерживающий довольно “либеральную” политику кросс-доменных запросов. При посещении вредоносных сайтов неправильная конфигурация daemon-потока интерфейса может привести к утечке конфиденциальной информации. Кроме того, злоумышленник может получить доступ к установкам Parity и конфигурации сети.

Специалисты по безопасности также отмечают, что многие API в CPP в имплементации интерфейса JSON-RPC подвержены риску вредоносных JSON-запросов, которые могут помочь злоумышленнику получить права администратора к ограниченному функционалу таких API в обход процесса авторизации.

Примечательно, что даже преобразователь IP-адресов в этом случае остается незащищенным от CSRF- и SSRF-атак.

Уязвимость в серверной имплементации JSON-RPC также может стать лазейкой для потенциальной DoS-атаки. Из-за ошибок в обработке некоторых API злоумышленник может отправить неправильно скомпилированный JSON-пакет и заблокировать таким образом нормальную работу ноды.

Напомним, Ethereum-сообщество по-прежнему находится в поисках возможных способов разблокировки средств на мультисиг-кошельках Parity без необходимости проведения хардфорка, хотя в Parity Technologies неоднократно призывали к обновлению сети Ethereum.

Adidas выпустил кроссовки со встроенным проездным на год
В 2019 году Cisco и Hyundai планируют запустить в производство автомобиль нового поколения
Оформление подписки
Оформить подписку на журнал InfoCity вы можете заполнив приведенную
ниже форму. Стоимость одного выпуска — 2 маната.
Ваше имя
Адрес доставки журнала и номер телефона для контактов
Число месяцев подписки
Благодарим вас за подписку!