amberdata discovers rpc roep fout in parity ethereum kliënt
'n kode vulnerability wat kon het gedwing rekenaar shutdowns was gevind op dinsdag in die tweede die meeste gewilde ethereum kliënt
parity connects oor 3 000 rekenaar servers rondom die wêreld te die ethereum blockchain netwerk
op donderdag parity technologies die startup verantwoordelik is vir gebou en maintaining die ethereum kliënt vrygestel updated kode te los die fout
net 'n klein subset van parity servers was kwesbare te gekraak volgens te scott bigelow die vp van ingenieursdienste op blockchain analytics startup amberdata amberdata eerste ontdek die vulnerability en disclosed dit te die parity technologies span
daar was 'n vulnerability wat indien exploited sou laat 'n onmiddellike crash van die parity kliënt vir al sy dienste gesê: bigelow daar is geen moontlikheid te steel fondse of doen ander malicious dinge maar jy kon toegesluit neer sommige gedeelte van ethereum nodes
in 'n blog boodskap gepubliseer donderdag parity technologies geskryf
asseblief werk jou nodes te die nuutste weergawe so gou moontlik veral indien jy weer loop 'n node wat het enabled tracing of 'n node wat het enabled publiek gesig staar rpc
wat s rpc
'n afgeleë proses roep of rpc is 'n protokol vir vra data en inligting uit 'n program loop op 'n derde party rekenaar bediener dit is gebruik op blockchains te versoek inligting oor op ketting aktiwiteite so 'n soos rekening balances blok nommers en ander data
dit kan wees gebruik privaat deur 'n user of oopgemaak vir die broader publiek te toegang tot infura 'n van die die meeste gewilde programme op ethereum vandag leverages publiek rpc ports te maak data oor die blockchain netwerk accessible te users wat don t self loop ethereum kliënte
vir die vulnerability gevind deur die amberdata span te wees exploited die ethereum node loop parity sagteware moet het enabled 'n publiek rpc hawe en geaktiveer 'n spesiale module te enable die tracing van transaction geskiedenis volgens te bigelow
dit s werklik hierdie venn diagram gesê: bigelow jy nodig te vind mense wat is loop parity nodes wat het 'n parity rpc hawe blootgestel en wat ook het die tracing module enabled op hul stelsel indien jy het wat drie dinge jy kan sê wat bediener is gegaan
parity was susceptible te 'n soortgelyke aanval vector terug in februarie wat vulnerability impacted die sagteware s hele user basis nie net 'n spesifieke subset
laag likelihood van aanval
op die dieselfde tyd hierdie tracing module op parity is 'n hoogs gedetailleerde en developer oriented module wat bigelow verdagtes net 'n klein fraction van parity users te het eintlik enabled
wat s meer terwyl rpc roep doen daar bestaan op ander ethereum kliënte so 'n soos geth dit is hoogs onwaarskynlik vir die dieselfde soort van vulnerability te exploited op ander sagteware weens te hoe rpc implementations verskil oor ethereum sagteware kliënte
die rpc interfaces van ethereum kliënte is nie standardized en elke kliënt het benewens roep vir hul spesifieke funksies gesê: 'n parity technologies spokesperson sodat dit s onwaarskynlik hulle het 'n soortgelyke fout vir hul analogous roep
ongeag die probability vir aanval parity technologies encourages al sy users te upgrade onmiddellik en gesê: in hul blog boodskap
deur default parity ethereum nie nie enable tracing of publiek gesig staar rpc sodat die meerderheid van nodes moet wees nie wees beïnvloed ongeag ons raai almal loop parity ethereum nodes te werk te hierdie laaste weergawe
parity technologies founder gavin hout beeld via archives