TxPipe 修补四款 Cardano 工具中的证书信任问题

TxPipe 于 10 月 22 日宣布为其四款开源 Cardano 基础设施工具提供安全补丁。团队表示，更新后的版本将不再信任其私钥可被推导出的 eMudhra 中级证书颁发机构。

发布阵容包括 Dolos 1.6.2、Oura 2.2.1 和 1.9.5、Balius 0.5.4，以及 Boros 的已打补丁容器镜像。TxPipe 的公告未报告针对其用户的利用行为或资金损失。

补丁移除对受影响证书的信任

证书颁发机构在建立 TLS 连接时帮助应用验证服务器身份，从而保护网络通信。中级机构是证书链的一部分，软件在接受连接之前会对其进行检查。

如果某一机构的私钥可以被重建，攻击者可能会签发受影响软件会信任的证书。风险暴露取决于应用如何验证证书以及它建立哪些连接。

TxPipe 的更新在支持其工具的网络组件中解决了这一问题。该公告涉及的是应用基础设施，而非 Cardano 共识协议中的漏洞。

四款工具支持 Cardano 应用的不同部分

这些受影响的项目承担着不同的基础设施角色。Dolos 提供对 Cardano 区块链数据的访问，而 Oura 监控链上事件并将其转发到数据库和消息代理等系统。

Balius 提供用于构建和运行 Cardano 应用逻辑的工具，并可独立于特定的用户界面。Boros 专注于为处理持续提交负载的应用提供交易提交基础设施。

对于 Dolos，1.6.2 版本更新的是 v1 长期支持分支。TxPipe 表示，Mithril 引导、快照恢复和 OpenTelemetry 导出已使用包含相关安全修复的 rustls。团队还使用 Debian 的已修补证书包重建了容器镜像。

这些更改同时针对应用依赖项以及容器环境中提供的受信任证书。其他项目有各自的补丁细节，不应将 Dolos 的实现视为对所有发布版本的描述。

[NEWSBREAK]

部署更新取决于已安装的工具

这些修复通过不同的发布分支和分发形式提供。Oura 在 v2 和 v1 分支均提供了修补版本，而 Boros 宣布的更新以容器镜像形式交付。

使用这些工具的运维人员需要将修补包与其部署版本和安装方式相匹配。服务的运行部署纳入该修复后，更新的发布才会生效。

Pallas 未被纳入此次补丁周期。TxPipe 表示，该库没有 TLS 客户端，因此无需就此问题发布新版本。