Клієнт консенсусу Ethereum Lighthouse 9 листопада випустив безпековий патч і закликав операторів усіх своїх beacon-нод якомога швидше оновити програмне забезпечення.
Випуск v8.3.3 робить це пріоритетною задачею для користувачів, які стейкають, і для тих, хто не стейкає, але повідомлення про випуск вважає оновлення клієнта валідатора низькопріоритетним для користувачів, які стейкають.
Як клієнт консенсусу, Lighthouse підключається до інших клієнтів у мережі Ethereum з доказом стейкінгу. Його beacon-нода працює разом з виконавчим двигуном для перевірки транзакцій у блоках, тоді як клієнт валідатора підключається до beacon-ноди та керує ключами, згідно з Lighthouse Book.
Оператори також можуть запускати beacon-ноду без клієнта валідатора. Документація Lighthouse включає аналіз даних та застосунки серед цих нестейкінгових використань, і ті оператори отримують ті самі інструкції високого пріоритету для beacon-ноди, що й користувачі, що стейкать, у таблиці оновлення v8.3.3.
Пріоритети проекту визначення пріоритетів відносять роботу високого пріоритету до терміну в години або дні, щоб її було завершено якнайшвидше. Робота низького пріоритету відноситься до наступного циклу регулярних оновлень, з прикладом у дві тижні.
Виберіть свою конфігурацію маяка
Швидко оновіть beacon-ноду. Оновлення validator-client має низький пріоритет і входить у звичайний цикл.
Ноди-безпечники зі стейкінгом і без стейкінгу мають високий пріоритет; клієнти-валідатори зі стейкінгом можуть використовувати звичайний цикл оновлення.
Механізми вразливості та потенційний вплив залишаються нерозголошеними. Високий пріоритет вказує на строковість оновлення. Години або дні та два тижні — це орієнтирні категорії, а не фіксовані терміни. Дата публікації рекомендації не вказана.
Розробники зазначають, що v8.3.3 не містить зламаних змін, але все ж рекомендують користувачам, які оновлюються з v8.2.x або раніших версій, ознайомитися з примітками до випуску v8.3.0 — додатковий момент для операторів, які пропустили проміжні версії.
Деталі вразливості клієнта ethereum будуть надані пізніше
У повідомленні зазначено, що технічні деталі вразливостей будуть розкриті пізніше. Посилання на безпечністьні рекомендації будуть додані після того, як оператори мереж отримають час для оновлення.
Цей підхід слідує поясненню Sigma Prime від 5 листопада щодо свого процесу розкриття інформації. Розробник Lighthouse каже, що спочатку він утримує інформацію про вразливості, щоб надати користувачам час оновити свої ноди, а потім додає деталі до приміток до випуску та безпечних оголошень на GitHub.
Повідомлення v8.3.3 не повідомляє про активну експлуатацію чи визначає втрати, а механізми атаки та потенційний вплив залишаються нерозкритими. Позначка високого пріоритету не розкриває технічної серйозності чи наслідків атаки.
Запит стосується програмного забезпечення beacon-node Lighthouse. Для операторів, які запускають обидва компоненти Lighthouse, оновлення лише validator-client залишить інструкцію для beacon-node невиконаною.
Визначення того, який компонент оновлюється, є ключовим, оскільки два записи у таблиці випуску мають різні графіки. Також відсутність деталей не підтверджує твердження про крадіжку або надcoming зупинку ланцюга.