TxPipe corrige un problema de confianza en certificados en cuatro herramientas de Cardano

TxPipe anunció parches de seguridad para cuatro de sus herramientas de infraestructura de Cardano de código abierto el 22 de octubre. El equipo dijo que las versiones actualizadas dejan de confiar en autoridades de certificación intermedias de eMudhra cuyas claves privadas pueden derivarse.

La serie de versiones incluye Dolos 1.6.2, Oura 2.2.1 y 1.9.5, Balius 0.5.4 y una imagen de contenedor corregida para Boros. El anuncio de TxPipe no informa de explotación contra sus usuarios ni de pérdidas de fondos.

Los parches eliminan la confianza en los certificados afectados

Las autoridades de certificación ayudan a las aplicaciones a verificar la identidad de los servidores al establecer conexiones TLS, que protegen las comunicaciones de red. Las autoridades intermedias forman parte de la cadena de certificados que el software comprueba antes de aceptar una conexión.

Si la clave privada de una autoridad puede reconstruirse, un atacante podría emitir certificados que el software afectado confiaría. La exposición depende de cómo una aplicación valida los certificados y qué conexiones establece.

Las actualizaciones de TxPipe abordan este problema en los componentes de red que dan soporte a sus herramientas. El anuncio se refiere a la infraestructura de aplicaciones y no a una vulnerabilidad en el protocolo de consenso de Cardano.

Cuatro herramientas dan soporte a distintas partes de las aplicaciones de Cardano

Los proyectos afectados cumplen funciones de infraestructura distintas. Dolos proporciona acceso a datos de la blockchain de Cardano, mientras que Oura supervisa eventos en cadena y los reenvía a sistemas como bases de datos y brokers de mensajes.

Balius ofrece herramientas para crear y ejecutar la lógica de aplicaciones de Cardano de forma independiente de una interfaz de usuario concreta. Boros se centra en la infraestructura de envío de transacciones para aplicaciones que manejan cargas de envío sostenidas.

En el caso de Dolos, la versión 1.6.2 actualiza la rama de soporte a largo plazo v1. TxPipe dice que la inicialización con Mithril, la restauración de instantáneas y la exportación de OpenTelemetry usan rustls con las correcciones de seguridad pertinentes. El equipo también reconstruyó la imagen de contenedor con el paquete de certificados corregido de Debian.

Estos cambios abordan tanto las dependencias de la aplicación como los certificados de confianza suministrados en el entorno del contenedor. Otros proyectos tienen sus propios detalles de parche; la implementación de Dolos no debe tomarse como una descripción de cada publicación.

[NEWSBREAK]

Las actualizaciones de despliegue dependen de la herramienta instalada

Las correcciones están disponibles a través de diferentes líneas de versiones y formatos de distribución. Oura tiene versiones corregidas tanto para sus ramas v2 como v1, mientras que la actualización anunciada de Boros se entrega como una imagen de contenedor.

Los operadores que usan estas herramientas deben hacer coincidir el paquete corregido con su versión desplegada y método de instalación. Una versión actualizada entra en vigor para un servicio una vez que su despliegue en ejecución incorpora la corrección.

Pallas queda excluida de este ciclo de parches. TxPipe dice que la biblioteca no tiene cliente TLS y por lo tanto no requiere una nueva publicación para este asunto.