TxPipe behebt Vertrauensproblem bei Zertifikaten in vier Cardano Tools

TxPipe kündigte am 22. Oktober Sicherheitsupdates für vier seiner Open Source Cardano Infrastrukturtools an. Das Team sagte, die aktualisierten Releases würden eMudhra Zwischenzertifizierungsstellen nicht mehr vertrauen, deren private Schlüssel abgeleitet werden können.

Die Veröffentlichungen umfassen Dolos 1.6.2, Oura 2.2.1 und 1.9.5, Balius 0.5.4 sowie ein gepatchtes Container Image für Boros. Die Ankündigung von TxPipe berichtet nicht über Angriffe auf Nutzer oder Verluste von Geldern.

Patches entfernen das Vertrauen in betroffene Zertifikate

Zertifizierungsstellen helfen Anwendungen, bei der Einrichtung von TLS Verbindungen die Identität von Servern zu prüfen, die die Netzwerkkommunikation schützen. Zwischenzertifizierungsstellen sind Teil der Zertifikatskette, die Software prüft, bevor sie eine Verbindung akzeptiert.

Wenn der private Schlüssel einer Zertifizierungsstelle rekonstruiert werden kann, könnte ein Angreifer potenziell Zertifikate ausstellen, denen die betroffene Software vertrauen würde. Die Gefährdung hängt davon ab, wie eine Anwendung Zertifikate validiert und welche Verbindungen sie herstellt.

Die Updates von TxPipe beheben dieses Problem in den Netzwerkkomponenten, die die Tools unterstützen. Die Ankündigung betrifft Anwendungsinfrastruktur und nicht eine Schwachstelle im Konsensprotokoll von Cardano.

Vier Tools unterstützen unterschiedliche Teile von Cardano Anwendungen

Die betroffenen Projekte erfüllen unterschiedliche Infrastrukturrollen. Dolos bietet Zugriff auf Cardano Blockchain Daten, während Oura Ereignisse auf der Kette überwacht und sie an Systeme wie Datenbanken und Message Broker weiterleitet.

Balius stellt Werkzeuge zum Erstellen und Ausführen von Cardano Anwendungslogik bereit, unabhängig von einer bestimmten Benutzeroberfläche. Boros konzentriert sich auf die Infrastruktur zur Transaktionseinreichung für Anwendungen, die anhaltende Einreichungslasten verarbeiten.

Für Dolos aktualisiert Version 1.6.2 den v1 Long Term Support Zweig. TxPipe sagt, dass Mithril Bootstrapping, Snapshot Wiederherstellung und OpenTelemetry Export rustls mit den entsprechenden Sicherheitskorrekturen verwenden. Das Team hat außerdem das Container Image mit Debians gepatchtem Zertifikatsbündel neu gebaut.

Diese Änderungen betreffen sowohl Anwendungsabhängigkeiten als auch die in der Containerumgebung bereitgestellten vertrauenswürdigen Zertifikate. Andere Projekte haben ihre eigenen Patch Details; die Implementierung von Dolos sollte nicht als Beschreibung jeder Veröffentlichung betrachtet werden.

[NEWSBREAK]

Bereitstellungsupdates hängen vom installierten Tool ab

Die Korrekturen sind über verschiedene Release Linien und Distributionsformate verfügbar. Oura hat gepatchte Versionen für beide Zweige v2 und v1, während das angekündigte Update für Boros als Container Image ausgeliefert wird.

Betreiber, die diese Tools nutzen, müssen das gepatchte Paket ihrer eingesetzten Version und Installationsmethode zuordnen. Eine aktualisierte Veröffentlichung wird für einen Dienst wirksam, sobald die laufende Bereitstellung die Korrektur enthält.

Pallas ist von diesem Patch Zyklus ausgenommen. TxPipe sagt, dass die Bibliothek keinen TLS Client hat und daher für dieses Problem keine neue Veröffentlichung benötigt.