O cliente de consenso Ethereum Lighthouse lançou um patch de segurança em 9 de novembro e solicitou aos operadores de todos os seus nós de beacon que atualizem o mais rápido possível.
A versão v8.3.3 torna isso uma prioridade alta para usuários que fazem staking e para aqueles que não fazem, mas o aviso de lançamento classifica as atualizações do cliente de validador como baixa prioridade para usuários que fazem staking.
Como um cliente de consenso, o Lighthouse se conecta a outros clientes na rede de proof-of-stake do Ethereum. Seu beacon node funciona com um mecanismo de execução para validar transações em blocos, enquanto o cliente validador se conecta ao beacon node e gerencia chaves, conforme o Lighthouse Book.
Os operadores também podem executar um nó de sinalização sem um cliente de validador. A documentação do Lighthouse inclui análise de dados e aplicações entre esses usos não de staking, e esses operadores recebem as mesmas instruções de nó de sinalização de alta prioridade como usuários de staking na tabela de atualização v8.3.3.
As definições de prioridade do projeto colocam o trabalho de alta prioridade em uma escala de horas ou dias, para ser concluído o mais rápido possível. O trabalho de baixa prioridade pertence ao próximo ciclo de atualização rotineira, com duas semanas como exemplo.
Escolha sua configuração do Farol
Atualize o nó de sinalização imediatamente. A atualização do cliente de validador tem baixa prioridade e pertence ao ciclo rotineiro.
Nós de sinalização com e sem staking têm alta prioridade; os clientes validadores com staking podem usar o ciclo de atualização rotineiro.
Mecânicas de vulnerabilidade e impacto potencial permanecem não divulgadas. Alta prioridade descreve a urgência da atualização. Horas ou dias e duas semanas são orientações ilustrativas de categoria, não prazos fixos. Nenhuma data de publicação do aviso é fornecida.
Os mantenedores afirmam que a v8.3.3 não introduz alterações que quebrem compatibilidade, mas ainda orientam os usuários que estiverem atualizando da v8.2.x ou versões anteriores a lerem as notas de lançamento da v8.3.0, uma consideração adicional para operadores que pularam versões intermediárias.
Detalhes da vulnerabilidade do cliente Ethereum seguirão
O lançamento afirma que os detalhes técnicos das vulnerabilidades serão divulgados posteriormente. Os links para os avisos de segurança serão adicionados assim que os operadores de rede tiverem tempo para atualizar.
Essa abordagem segue a explicação da Sigma Prime de 5 de novembro sobre seu processo de divulgação. O desenvolvedor do Lighthouse afirma que inicialmente retém informações sobre vulnerabilidades para dar aos usuários tempo para atualizar seus nodes, depois adiciona detalhes às notas de lançamento e aos Alertas de Segurança do GitHub.
O aviso da v8.3.3 não relata exploração ativa nem identifica perdas, e os mecanismos de ataque e o impacto potencial permanecem não divulgados. O rótulo de alta prioridade não revela a gravidade técnica ou as consequências de um ataque.
O pedido é específico ao software beacon-node do Lighthouse. Para operadores que executam ambos os componentes do Lighthouse, concluir apenas a atualização do validator-client ainda deixará a instrução do beacon-node pendente.
Verificar qual componente está sendo atualizado é essencial, pois as duas entradas na tabela de lançamento têm cronogramas diferentes. Os detalhes retidos também deixam as alegações de roubo ou uma parada iminente da cadeia sem suporte neste aviso.