TxPipeがCardanoの4つのツールで証明書信頼の問題にパッチを適用

TxPipeは10月22日、自社のオープンソースのCardanoインフラツール4種に対するセキュリティパッチを発表した。チームは、更新されたリリースで秘密鍵を導出可能なeMudhraの中間認証局を信頼しないようにしたと述べた。

リリースにはDolos 1.6.2、Oura 2.2.1および1.9.5、Balius 0.5.4、Boros向けのパッチ適用済みコンテナイメージが含まれる。TxPipeの発表では、ユーザーへの攻撃や資金損失は報告されていない。

パッチは影響を受けた証明書への信頼を解除

認証局は、ネットワーク通信を保護するTLS接続を確立する際に、アプリケーションがサーバーの正当性を検証するのを支援する。中間認証局は、ソフトウェアが接続を受け入れる前に検証する証明書チェーンの一部を構成する。

認証局の秘密鍵が再構成可能であれば、攻撃者が当該ソフトウェアに信頼される証明書を発行できてしまう可能性がある。影響の有無は、アプリケーションが証明書をどのように検証するかと、どの接続を行うかに依存する。

TxPipeの更新は、同社ツールを支えるネットワークコンポーネントにおいてこの問題へ対処するものだ。今回の発表はCardanoのコンセンサスプロトコルの脆弱性ではなく、アプリケーションインフラに関する内容である。

4つのツールはCardanoアプリケーションの異なる領域を支援

影響を受けたプロジェクトは、それぞれ異なるインフラの役割を担っている。DolosはCardanoブロックチェーンデータへのアクセスを提供し、Ouraはオンチェーンイベントを監視してデータベースやメッセージブローカーなどのシステムへ転送する。

Baliusは特定のユーザーインターフェースに依存せずにCardanoのアプリケーションロジックを構築し実行するためのツールを提供する。Borosは、継続的な送信ワークロードを扱うアプリケーション向けのトランザクション送信インフラに特化している。

Dolosについては、バージョン1.6.2がv1の長期サポートブランチを更新する。TxPipeによれば、Mithrilのブートストラップ、スナップショットの復元、OpenTelemetryのエクスポートは、該当するセキュリティ修正を含むrustlsを使用するという。チームはまた、Debianのパッチ適用済み証明書バンドルを用いてコンテナイメージを再ビルドした。

これらの変更は、アプリケーションの依存関係と、コンテナ環境で提供される信頼済み証明書の双方に対処する。他のプロジェクトにはそれぞれ独自のパッチ内容があり、Dolosの実装をすべてのリリースの説明として扱うべきではない。

[NEWSBREAK]

デプロイの更新はインストール済みツールに依存

修正は異なるリリースラインや配布形式で提供される。Ouraにはv2およびv1の両ブランチ向けのパッチ版があり、Borosの発表済み更新はコンテナイメージとして提供される。

これらのツールを使用する運用者は、稼働中のバージョンと導入方法に合わせてパッチ適用済みパッケージを選定する必要がある。稼働中のデプロイに修正が取り込まれた時点で、更新リリースはサービスに有効となる。

Pallasは今回のパッチサイクルから除外されている。TxPipeによれば、このライブラリにはTLSクライアントがなく、本件で新たなリリースは不要だという。