Polygon a corrigé discrètement trois failles critiques de son réseau

Polygon a corrigé plusieurs failles de sécurité sur son réseau, qui auraient pu provoquer d’importants dysfonctionnements en cas d’exploitation. Des attaquants auraient pu surcharger les validateurs, ralentir la production de nouveaux blocs et faire planter des machines au sein du réseau.

Polygon a volontairement gardé ces vulnérabilités confidentielles jusqu’au déploiement des mises à jour nécessaires. Selon le projet crypto, aucun élément n’indique que ces failles aient effectivement été exploitées.

Un attaquant pouvait perturber le réseau Polygon

La faille la plus critique se trouvait dans Heimdall, un composant essentiel de Polygon. Un attaquant aurait pu envoyer une transaction spécialement modifiée, obligeant les validateurs à effectuer une charge de calcul très importante.

Le risque est majeur, car les validateurs sont indispensables pour vérifier les transactions et assurer le fonctionnement du réseau. Si un nombre suffisant d’entre eux est surchargé, le traitement des nouveaux blocs peut ralentir.

Deux autres vulnérabilités ont également été découvertes dans Bor, un autre composant clé de Polygon. Elles permettaient à des attaquants de solliciter des machines du réseau au point de les ralentir fortement, voire de les faire planter.

Polygon affirme n’avoir trouvé aucune preuve que cela se soit réellement produit.

Polygon a temporairement gardé les failles confidentielles

Fait notable, Polygon n’a rendu ces vulnérabilités publiques qu’après les avoir corrigées. Ce choix était délibéré. Si les détails techniques avaient été divulgués plus tôt, des attaquants auraient pu en profiter alors que des validateurs utilisaient encore des logiciels vulnérables.

Polygon a donc d’abord développé et testé les correctifs. Les mises à jour ont ensuite été déployées via les hard forks Austin et Kyoto. Les opérateurs ont dû passer à de nouveaux logiciels pour rester connectés à la version officielle du réseau.

Les mises à jour de sécurité sont désormais actives. Les nœuds Polygon doivent utiliser au minimum Bor v2.10.0. Pour les validateurs et les autres machines exécutant Heimdall, la version minimale requise est v0.11.0.