Natuklasan ng Amberdata ang 'RPC Call' na Bug sa Parity Ethereum Client

Ang isang kahinaan sa code na maaaring sapilitang pag-shutdown ng computer ay natagpuan noong Martes sa pangalawang pinakasikat na kliyente ng Ethereum .

Nag-uugnay ang parity 3,000 server ng computer sa buong mundo hanggang sa Ethereum blockchain network.

Noong Huwebes, ang Parity Technologies, ang startup na responsable sa pagbuo at pagpapanatili ng Ethereum client, ay naglabas ng na-update na code upang ayusin ang bug.

Isang maliit na subset lamang ng mga Parity server ang mahina sa pag-crash, ayon kay Scott Bigelow, ang VP ng engineering sa blockchain analytics startup na Amberdata. Unang natuklasan ng Amberdata ang kahinaan at isiniwalat ito sa koponan ng Parity Technologies.

"Nagkaroon ng kahinaan na [kung pinagsamantalahan] ay magdudulot ng agarang pag-crash ng Parity client para sa lahat ng serbisyo nito," sabi ni Bigelow. "Walang posibilidad na magnakaw ng mga pondo o gumawa ng iba pang malisyosong bagay ngunit maaari mong isara ang ilang bahagi ng mga Ethereum node."

Sa isang post sa blog inilathala noong Huwebes, isinulat ng Parity Technologies:

"Paki-update ang iyong mga node sa pinakabagong bersyon sa lalong madaling panahon, lalo na kung nagpapatakbo ka ng isang node na nagpagana ng pagsubaybay o isang node na nag-enable sa RPC na nakaharap sa publiko."

Ano ang RPC?

Ang remote procedure call, o RPC, ay isang protocol para sa paghiling ng data at impormasyon mula sa isang program na tumatakbo sa isang third-party na computer server. Ginagamit ito sa mga blockchain upang Request ng impormasyon tungkol sa mga on-chain na aktibidad tulad ng mga balanse ng account, block number at iba pang data.

Maaari itong gamitin nang pribado ng isang user o buksan para ma-access ng mas malawak na publiko. Infura, ONE sa mga pinakasikat na application sa Ethereum ngayon, ay gumagamit ng mga pampublikong RPC port para gawing accessible ang data tungkol sa blockchain network ng mga user na T mismo nagpapatakbo ng mga kliyente ng Ethereum .

Para mapagsamantalahan ang kahinaan na natagpuan ng koponan ng Amberdata, ang Ethereum node na nagpapatakbo ng Parity software ay dapat na pinagana ang isang pampublikong RPC port at nag-activate ng isang espesyal na module upang paganahin ang pagsubaybay sa kasaysayan ng transaksyon, ayon kay Bigelow.

"Ito talaga ang venn diagram na ito," sabi ni Bigelow. "Kailangan mong maghanap ng mga taong nagpapatakbo ng mga Parity node, na may Parity [RPC] port na nakalabas at mayroon ding naka-enable na tracing module sa kanilang system. Kung mayroon kang tatlong bagay na iyon, masasabi mong wala na ang server."

Ang parity ay madaling kapitan sa isang katulad na vector ng pag-atake pabalik noong Pebrero. Ang kahinaang iyon ay nakaapekto sa buong user base ng software, hindi lamang sa isang partikular na subset.

Mababang posibilidad ng pag-atake

Kasabay nito, ang pagsubaybay sa module na ito sa Parity ay isang napaka-detalyadong at developer-oriented na module na pinaghihinalaan ng Bigelow na isang maliit na bahagi lamang ng mga user ng Parity ang aktwal na pinagana.

Higit pa, habang ang mga tawag sa RPC ay umiiral sa iba pang mga kliyente ng Ethereum , gaya ng Geth, ito ay lubos na hindi malamang para sa parehong uri ng kahinaan na pinagsamantalahan sa ibang software – dahil sa kung paano naiiba ang mga pagpapatupad ng RPC sa mga kliyente ng Ethereum software.

"Ang mga interface ng RPC ng mga kliyente ng Ethereum ay hindi standardized at ang bawat kliyente ay may mga karagdagang tawag para sa kanilang mga partikular na tampok," sabi ng isang tagapagsalita ng Parity Technologies. "Kaya hindi malamang na mayroon silang katulad na bug para sa kanilang kahalintulad na tawag."

Anuman ang posibilidad ng pag-atake, hinihikayat ng Parity Technologies ang lahat ng mga gumagamit nito na mag-upgrade kaagad, na nagsasabi sa kanilang post sa blog:

"By default, hindi pinapagana ng Parity Ethereum ang tracing o public-facing RPC, kaya hindi dapat maapektuhan ang karamihan ng mga node. Anuman, inirerekomenda namin ang lahat na nagpapatakbo ng mga Parity Ethereum node na mag-update sa pinakabagong bersyon na ito."

Larawan ng tagapagtatag ng Parity Technologies na si Gavin Wood sa pamamagitan ng mga archive ng CoinDesk