TxPipe corrige problema de confiança em certificados em quatro ferramentas de Cardano

A TxPipe anunciou correções de segurança para quatro de suas ferramentas de infraestrutura de Cardano de código aberto em 22 de outubro. A equipe disse que as versões atualizadas deixam de confiar em autoridades certificadoras intermediárias da eMudhra cujas chaves privadas podem ser derivadas.

O conjunto de lançamentos inclui Dolos 1.6.2, Oura 2.2.1 e 1.9.5, Balius 0.5.4 e uma imagem de contêiner corrigida para Boros. O anúncio da TxPipe não relata exploração contra seus usuários nem perdas de fundos.

Correções removem a confiança em certificados afetados

Autoridades certificadoras ajudam aplicações a verificar a identidade de servidores ao estabelecer conexões TLS, que protegem as comunicações de rede. Autoridades intermediárias fazem parte da cadeia de certificação que o software verifica antes de aceitar uma conexão.

Se a chave privada de uma autoridade puder ser reconstruída, um invasor poderá potencialmente emitir certificados que o software afetado aceitaria como confiáveis. A exposição depende de como uma aplicação valida certificados e de quais conexões ela realiza.

As atualizações da TxPipe abordam esse problema nos componentes de rede que dão suporte às suas ferramentas. O anúncio diz respeito à infraestrutura de aplicações, não a uma vulnerabilidade no protocolo de consenso da Cardano.

Quatro ferramentas dão suporte a diferentes partes das aplicações de Cardano

Os projetos afetados desempenham funções de infraestrutura distintas. Dolos fornece acesso a dados da blockchain Cardano, enquanto Oura monitora eventos na cadeia e os encaminha para sistemas como bancos de dados e corretores de mensagens.

Balius fornece ferramentas para construir e executar a lógica de aplicações de Cardano de forma independente de uma interface de usuário específica. Boros foca na infraestrutura de envio de transações para aplicações que lidam com cargas sustentadas de envio.

Para o Dolos, a versão 1.6.2 atualiza a ramificação v1 de suporte de longo prazo. A TxPipe diz que a inicialização do Mithril, a restauração de instantâneos e a exportação para OpenTelemetry usam rustls com as correções de segurança relevantes. A equipe também reconstruiu a imagem do contêiner com o pacote de certificados corrigido do Debian.

Essas mudanças abrangem tanto as dependências da aplicação quanto os certificados confiáveis fornecidos no ambiente do contêiner. Outros projetos têm seus próprios detalhes de correção, a implementação do Dolos não deve ser tratada como descrição de todos os lançamentos.

[NEWSBREAK]

As atualizações de implantação dependem da ferramenta instalada

As correções estão disponíveis por meio de diferentes linhas de lançamento e formatos de distribuição. Oura tem versões corrigidas para as ramificações v2 e v1, enquanto a atualização anunciada de Boros é entregue como uma imagem de contêiner.

Os operadores que usam essas ferramentas precisam combinar o pacote corrigido com sua versão implantada e método de instalação. Um lançamento atualizado torna-se efetivo para um serviço quando sua implantação em execução incorpora a correção.

Pallas está excluída deste ciclo de correções. A TxPipe diz que a biblioteca não tem cliente TLS e, portanto, não requer um novo lançamento para este assunto.