Уразлівасць, знойдзеная ў Dogecoin, усё яшчэ прысутнічае ў сетцы 280

• Кампанія па бяспецы блокчейнов Halborn выявіла ўразлівасць нулявога дня ў 280 сетках.
• Уразлівасць была выяўлена ў кодавай базе Dogecoin у сакавіку мінулага года.
• Сеткі, якія знаходзяцца пад пагрозай, ўключаюць Litecoin і Zcash з лічбавымі актывамі на суму больш за 25 мільярдаў долараў.

Фірма па бяспецы блокчейнов Halborn нядаўна выпусціла справаздачу, у якой выкладзены падрабязнасці ўразлівасці нулявога дня, якая закранула больш за 280 сетак у крыптапрасторы. Уразлівасць была ўпершыню выяўлена ў сакавіку мінулага года, калі фірма ацаніла кодавую базу Dogecoin з адкрытым зыходным кодам на наяўнасць уразлівасцяў, якія могуць паўплываць на бяспеку блокчейна.

Згодна са справаздачай Хэлбарна, фірма правяла шырокі агляд з удзелам іншых сетак пасля выяўлення ўразлівасці ў Dogecoin. Гэта выявіла падобныя праблемы з іншымі сеткамі, уключаючы Litecoin і Zcash сярод некалькіх іншых. Фірма па бяспецы блокчейна падлічыла, што з-за ўразлівасці больш за 25 мільярдаў долараў лічбавых актываў знаходзяцца пад пагрозай.

«З-за адрозненняў у кодавай базе паміж сеткамі не ўсе ўразлівасці можна выкарыстоўваць ва ўсіх сетках, але прынамсі адна з іх можа быць выкарыстана ў кожнай сетцы. Ва ўразлівых сетках паспяховае выкарыстанне адпаведнай уразлівасці можа прывесці да адмовы ў абслугоўванні або выдаленага выканання кода», — заявіў генеральны дырэктар Halborn Роб Бенке.

Уразлівасць, якая атрымала Халборнам кодавую назву Rab13s, была выяўлена ў аднарангавым (p2p) механізме абмену паведамленнямі пацярпелых сетак. Ён падвяргае сетку ўздзеянню шкоднасных кансенсусных паведамленняў, адпраўленых дрэнным удзельнікам, каб кантраляваць сетку, ініцыяваўшы атаку 51%.

Яшчэ адна ўразлівасць у службах Remote Procedure Call (RPC) можа дазволіць зламыснікам вывесці з ладу вузел з дапамогай запытаў RPC. Аднак такі эксплойт запатрабуе сапраўдных уліковых дадзеных, што зніжае верагоднасць таго, што ўся сетка знаходзіцца пад пагрозай. Што тычыцца выпраўлення, Халборн прыдумаў камплект эксплойтаў для Rab13s, які ўключае ў сябе доказ канцэпцыі з наладжвальнымі параметрамі для дэманстрацыі нападаў на розныя сеткі.

Паведамленне Праглядаў: 16