$SOL meminta para validator yang disebutkan segera bertindak. Pagi ini waktu Beijing, Anza mengeluarkan pemberitahuan darurat tentang kerentanan serius pada kernel Linux dan meminta validator yang menjalankan mainnet untuk segera menanganinya.
SOL adalah koin asli Solana, sementara Anza adalah tim yang mengembangkan klien validator Solana, Agave.
Kerentanan ini terdapat pada bagian Linux yang menangani permintaan koneksi TCP. Kerentanan tersebut sudah diperbaiki di kernel Linux, tetapi Ubuntu belum merilis versi kernel yang sudah diperbaiki. Pemberitahuan ini ditujukan kepada validator yang menjalankan Ubuntu.
Langkah mitigasi yang mereka bagikan adalah memblokir paket TCP yang membawa opsi IP, lalu menonaktifkan Multipath TCP dan migrasi permintaan koneksi TCP sambil menunggu patch resmi dari Ubuntu.
Situasinya mendesak karena tim CVE kernel Linux memberi kerentanan ini skor tingkat keparahan 9,8. Penyerang bisa menyusup dari jarak jauh dengan mengirim paket, tanpa perlu akun. Sejumlah peneliti juga telah mendemonstrasikan cara memperoleh akses root pada mesin yang mengaktifkan Multipath TCP.
Mesin validator menyimpan identitas node dan kunci untuk pemungutan suara, jadi jika mesin semacam ini dikuasai, dampaknya bukan perkara kecil. Penyedia seperti AWS mengatakan sejauh ini belum melihat kerentanan ini dieksploitasi secara nyata di alam bebas.
SOL adalah koin asli Solana, sementara Anza adalah tim yang mengembangkan klien validator Solana, Agave.
Kerentanan ini terdapat pada bagian Linux yang menangani permintaan koneksi TCP. Kerentanan tersebut sudah diperbaiki di kernel Linux, tetapi Ubuntu belum merilis versi kernel yang sudah diperbaiki. Pemberitahuan ini ditujukan kepada validator yang menjalankan Ubuntu.
Langkah mitigasi yang mereka bagikan adalah memblokir paket TCP yang membawa opsi IP, lalu menonaktifkan Multipath TCP dan migrasi permintaan koneksi TCP sambil menunggu patch resmi dari Ubuntu.
Situasinya mendesak karena tim CVE kernel Linux memberi kerentanan ini skor tingkat keparahan 9,8. Penyerang bisa menyusup dari jarak jauh dengan mengirim paket, tanpa perlu akun. Sejumlah peneliti juga telah mendemonstrasikan cara memperoleh akses root pada mesin yang mengaktifkan Multipath TCP.
Mesin validator menyimpan identitas node dan kunci untuk pemungutan suara, jadi jika mesin semacam ini dikuasai, dampaknya bukan perkara kecil. Penyedia seperti AWS mengatakan sejauh ini belum melihat kerentanan ini dieksploitasi secara nyata di alam bebas.