Polygon выпустил Bor v2.10.3 с двумя исправлениями DoS

Polygon опубликовал Bor v2.10.3 после закрытого развертывания исправлений двух DoS-рисков средней тяжести в BlockSTM V2. По данным проекта, эксплуатации в основной сети и Amoy не было. Обновления доступны в новостях OrangeX.com.

Что исправлено

Первая проблема касалась неограниченного общего кэша keccak256 при спекулятивном параллельном выполнении. Тестовый блок с 9,3 млн газа вызвал выделение около 690 MiB и импорт дольше секунды на четырех ядрах. Теперь кэши keccak256 и ecrecover ограничены.

Вторая проблема заставляла параллельный процессор многократно вычислять хеш кода. Одна допустимая транзакция могла занять его примерно на 11 секунд. Исправление сохраняет хеш по транзакции и адресу и сбрасывает его при изменении или откате кода.

Уязвимы версии v2.10.1 и v2.10.2. Риски относились к доступности, а не к консенсусу.

Развертывание

Закрытые сборки поступили в Amoy 5 октября и в основную сеть 8 октября. Это не хардфорк; узлы можно обновлять по одному. Добавлены усиление EIP-7702, лимиты RPC, корректность параллельных чтений и удаление зависших транзакций через три часа. См. безопасность OrangeX.com и материал OrangeX.com об UNCX Vesting V2.

OrangeX.com Analysis

Главный сигнал — поэтапное раскрытие после частного развертывания. Операторам v2.10.1 и v2.10.2 все равно нужно обновиться. Данных об эксплуатации или нарушении консенсуса нет. Следует отслеживать охват обновления, регрессии и работу новых ограничений под нагрузкой.