블록·웹소켓·JSON-RPC서 시스템 자원 고갈 위험 확인
7월 27일 패치 배포 뒤 8월 14일 세부 내용 공개
핵심 요약
- 서틱은 베수에서 취약점 5건을 발견했다고 8월 14일 밝혔다.
- 베수 개발팀은 7월 27일 배포한 26.7.1 버전에서 취약점 5건을 모두 수정했다.
- 베수 개발팀은 8월 14일 보안 공지 4건을 추가로 공개했다.
웹3 보안기업 서틱(CertiK)은 이더리움 실행 클라이언트 베수(Besu)에서 노드 가용성과 시스템 자원 고갈에 영향을 줄 수 있는 취약점 5건을 발견했다고 8월 14일 밝혔다. 베수 개발팀은 7월 27일 배포한 26.7.1 버전에서 관련 문제를 모두 수정했다.
취약점은 블록 공지 처리, 미래 블록 높이에 대한 합의 제안 캐싱, 웹소켓 구독 제한, 제한 없이 생성할 수 있는 JSON-RPC 필터 등에서 확인됐다. 심각도는 마이너(Minor)부터 메이저(Major) 수준으로 평가됐다.
베수는 이더리움 네트워크에서 트랜잭션과 블록을 처리하고 네트워크 합의에 참여하는 오픈소스 실행 클라이언트다. 하이퍼렛저(Hyperledger) 생태계에서 개발되며 노드 운영과 기업용 블록체인 인프라 등에 쓰인다.
서틱은 자체 보안 연구 과정에서 취약점 5건을 찾아 베수 개발팀에 직접 보고하고, 문제를 재현하는 개념 증명(PoC) 테스트 프레임워크도 제공했다. 체인 스캔(Chain Scan)의 적대적 테스트 방법론으로 프라이빗 멀티노드 베수 테스트 네트워크를 구축한 뒤 P2P 통신, HTTP RPC, 웹소켓 RPC, 합의 관련 인터페이스에 통제된 비정상 조건을 적용했다.
특정 구성 환경에서 이들 취약점을 악용하면 메모리나 스레드 같은 시스템 자원을 소진할 가능성이 있다. 상황에 따라 노드 가용성이 떨어지고 합의 처리에도 영향을 줄 수 있다는 평가다.
베수 개발팀은 7월 27일 보안 업데이트인 26.7.1 버전을 배포하며 사용자에게 신속한 업그레이드를 권고했다. 이 버전에는 다른 보안 문제와 함께 서틱이 보고한 취약점 5건의 수정 사항이 포함됐다.
베수 개발팀은 패치 배포 후인 8월 14일 보안 공지 4건을 추가로 내고 기술적 세부 내용을 공개했다. 각 공지에는 해당 취약점을 26.7.1 버전에서 수정했다는 내용이 명시됐다.
서틱은 수정이 끝날 때까지 취약점 정보를 비공개로 유지했다. 패치가 적용된 26.7.1 버전을 배포하고 노드 운영자에게 업그레이드 시간을 제공한 뒤 세부 내용을 공개하는 책임 있는 공개 절차를 따랐다.
서틱은 이번 연구가 특정 고객의 의뢰나 상업적 프로젝트와 무관한 독립 연구라고 설명했다. 베수는 릴리스 노트에서 책임 있는 취약점 공개에 기여한 서틱과 EF 시큐리티에 각각 감사를 표했다.
베수 노드 운영자는 26.7.1 버전으로 업데이트해 관련 취약점에 대한 보안 조치를 적용할 수 있다.
