Клиент консенсуса Ethereum Lighthouse выпустил исправление безопасности 9 ноября и призвал операторов всех своих beacon-нод как можно скорее обновиться.
Выпуск v8.3.3 делает эту работу приоритетной для пользователей, которые стейкают, и для тех, кто не стейкает, но уведомление о выпуске классифицирует обновления валидатор-клиентов как низкий приоритет для пользователей, стейкающих.
В качестве клиента консенсуса Lighthouse подключается к другим клиентам в сети Ethereum с доказательством владения. Его beacon-нода работает вместе с исполнительным движком для проверки транзакций в блоках, а клиент валидатора подключается к beacon-ноде и управляет ключами, согласно Lighthouse Book.
Операторы также могут запускать beacon-ноду без клиента валидатора. Документация Lighthouse включает анализ данных и приложения среди этих нестейкинговых использований, и такие операторы получают те же инструкции высокого приоритета для beacon-ноды, что и пользователи, занимающиеся стейкингом, в таблице обновления v8.3.3.
Приоритеты проекта определяют работу высокого приоритета в масштабе часов или дней, которую необходимо завершить как можно скорее. Работа низкого приоритета включается в следующий цикл регулярных обновлений, с примером в две недели.
Выберите свою настройку маяка
Своевременно обновите beacon-ноду. Обновление валидатор-клиента имеет низкий приоритет и входит в обычный цикл.
Запуск и незапускаемые beacon-ноды имеют высокий приоритет; клиенты валидаторов с стейкингом могут использовать стандартный цикл обновления.
Механика уязвимости и потенциальное воздействие остаются нераскрытыми. Высокий приоритет указывает на срочность обновления. Часы или дни и две недели — это ориентировочные категориальные рекомендации, а не фиксированные сроки. Дата публикации рекомендации не указана.
Разработчики сообщают, что версия v8.3.3 не вносит изменений, нарушающих совместимость, но все же рекомендуют пользователям, обновляющимся с v8.2.x или более ранних версий, ознакомиться с заметками о выпуске v8.3.0 — дополнительное соображение для операторов, пропустивших промежуточные версии.
Детали уязвимости клиента ethereum последуют
В выпуске говорится, что технические детали уязвимостей будут раскрыты позже. Ссылки на уведомления о безопасности будут добавлены после того, как операторы сети успеют обновиться.
Этот подход следует объяснению Sigma Prime от 5 ноября о своем процессе раскрытия информации. Разработчик Lighthouse говорит, что сначала он удерживает информацию об уязвимостях, чтобы дать пользователям время обновить свои ноды, а затем добавляет детали в примечания к выпуску и уведомления о безопасности на GitHub.
Уведомление v8.3.3 не сообщает о активной эксплуатации или потерях, а механика атаки и потенциальное воздействие остаются нераскрытыми. Метка «высокий приоритет» не раскрывает техническую степень серьезности или последствия атаки.
Запрос относится к программному обеспечению beacon-node Lighthouse. Для операторов, запускающих оба компонента Lighthouse, обновление только validator-client оставит инструкцию по обновлению beacon-node незавершенной.
Важно проверить, какой компонент обновляется, поскольку два пункта в таблице релиза имеют разные графики. Также скрытые детали не подтверждают утверждения о краже или надвигающейся остановке цепочки.