TxPipe publie des correctifs pour un problème de confiance des certificats dans quatre outils Cardano

TxPipe a annoncé des correctifs de sécurité pour quatre de ses outils d’infrastructure Cardano open source le 22 octobre. L’équipe a indiqué que les versions mises à jour cessent d’accorder leur confiance aux autorités de certification intermédiaires eMudhra dont les clés privées peuvent être dérivées.

La série de versions comprend Dolos 1.6.2, Oura 2.2.1 et 1.9.5, Balius 0.5.4, ainsi qu’une image de conteneur corrigée pour Boros. L’annonce de TxPipe ne fait état d’aucune exploitation visant ses utilisateurs ni d’aucune perte de fonds.

Les correctifs retirent la confiance accordée aux certificats affectés

Les autorités de certification aident les applications à vérifier l’identité des serveurs lors de l’établissement de connexions TLS, qui protègent les communications réseau. Les autorités intermédiaires font partie de la chaîne de certification que les logiciels vérifient avant d’accepter une connexion.

Si la clé privée d’une autorité peut être reconstruite, un attaquant pourrait potentiellement émettre des certificats auxquels les logiciels concernés feraient confiance. L’exposition dépend de la manière dont une application valide les certificats et des connexions qu’elle établit.

Les mises à jour de TxPipe traitent ce problème dans les composants réseau qui prennent en charge ses outils. L’annonce concerne l’infrastructure applicative et non une vulnérabilité du protocole de consensus de Cardano.

Quatre outils prennent en charge différentes parties des applications Cardano

Les projets concernés remplissent des rôles d’infrastructure distincts. Dolos fournit un accès aux données de la blockchain Cardano, tandis qu’Oura surveille les événements on chain et les relaie vers des systèmes tels que des bases de données et des courtiers de messages.

Balius fournit des outils pour construire et exécuter la logique applicative Cardano indépendamment d’une interface utilisateur particulière. Boros se concentre sur l’infrastructure de soumission de transactions pour les applications qui gèrent des charges de soumission soutenues.

Pour Dolos, la version 1.6.2 met à jour la branche v1 de prise en charge à long terme. TxPipe indique que le démarrage Mithril, la restauration d’instantanés et l’export OpenTelemetry utilisent rustls avec les correctifs de sécurité concernés. L’équipe a également reconstruit l’image de conteneur avec le lot de certificats corrigé de Debian.

Ces changements traitent à la fois les dépendances de l’application et les certificats de confiance fournis dans l’environnement de conteneur. Les autres projets ont leurs propres détails de correctifs et l’implémentation de Dolos ne doit pas être considérée comme une description de chaque version.

[NEWSBREAK]

La mise à jour du déploiement dépend de l’outil installé

Les correctifs sont disponibles via différentes branches de versions et différents formats de distribution. Oura propose des versions corrigées pour ses branches v2 et v1, tandis que la mise à jour annoncée de Boros est fournie sous forme d’image de conteneur.

Les opérateurs qui utilisent ces outils doivent faire correspondre le paquet corrigé à leur version déployée et à leur méthode d’installation. Une version mise à jour devient effective pour un service une fois que son déploiement en cours intègre le correctif.

Pallas est exclu de ce cycle de correctifs. TxPipe indique que la bibliothèque n’a pas de client TLS et ne nécessite donc aucune nouvelle version pour ce problème.