以太坊执行客户端Besu已于近日发布26.7.1版本，修复了由区块链安全公司CertiK发现的五个安全漏洞。该版本于7月27日部署，随后在8月14日发布了四份详细的安全公告，为节点运营商提供了充足的升级时间。
据Odaily报道，延迟披露技术细节是有意为之，旨在为节点运营商提供18天的时间窗口，以便识别受影响的部署、测试新版本，并与验证者或联盟参与者协调升级。CertiK安全工程总监兼高级审计合伙人Jialiang Chang强调，“先修补、后公开细节”的做法最大程度降低了过渡期被利用的风险。
这些漏洞涉及多个关键接口，包括区块广播处理、未来高度共识提案缓存、WebSocket订阅限制以及JSON-RPC过滤器创建。如果未及时修补，攻击者可能耗尽节点的内存或线程资源，导致可用性下降和共识处理受损。
这些漏洞是利用CertiK的Chain Scan方法发现的，该方法在私有多节点测试网络中对点对点、HTTP RPC、WebSocket RPC和共识接口进行对抗性测试。CertiK表示，已向Besu提供了可复现的测试工具，并正在扩展Chain Scan，以支持在公共区块链网络上进行持续的多节点测试。
此次合作凸显了以太坊生态系统中主动安全审计的重要性。运行Besu的节点运营商被强烈建议升级至26.7.1或更高版本以缓解这些漏洞。有关完整技术细节，请参阅Besu团队发布的官方安全公告。