Optimism sửa 2 lỗ hổng bảo mật trong op-reth, loại bỏ 2 lệnh cũ

Optimism (OP) đã sửa hai lỗ hổng bảo mật trong phiên bản 2.5.0 của client thực thi op-reth, đồng thời loại bỏ hai lệnh cũ dùng để nhập dữ liệu lịch sử trước Bedrock. Các node sử dụng những lệnh này cần thay đổi quy trình khởi tạo trạng thái và cung cấp dữ liệu trước khi nâng cấp.

Trong ghi chú phát hành công bố ngày 1 tháng 10, Optimism khuyến nghị tất cả nhà vận hành op-reth cập nhật lên phiên bản này. op-reth là client xử lý thực thi khối và trạng thái trên các chuỗi OP Stack. Bản cập nhật áp dụng cho phần mềm node và quy trình vận hành, không thay đổi quy tắc kinh tế của chuỗi.

Thay đổi các nhà vận hành cần lưu ý là việc loại bỏ import-op và import-receipts-op. Hai lệnh này từng được dùng để nhập dữ liệu OVM trước Bedrock. Optimism hướng dẫn những nhà vận hành đã dùng các lệnh trên chuyển sang khởi tạo trạng thái Bedrock trước khi nâng cấp.

Quy trình chuyển đổi gồm chạy op-reth init-state --without-ovm và cung cấp dữ liệu trước Bedrock thông qua một phiên bản l2geth. Vì vậy, các node phụ thuộc vào những lệnh cũ không thể tiếp tục dùng nguyên quy trình nhập dữ liệu trước đây. Node không sử dụng các lệnh này không cần thay đổi quy trình nhập.

Các bản sửa bảo mật áp dụng cho hai thư viện Rust là rustls và imbl. Optimism nâng cấp rustls lên phiên bản 0.23.45 để xử lý cảnh báo RUSTSEC-2026-0285. Cảnh báo của RustSec cho biết các phiên bản bị ảnh hưởng có thể không từ chối thông điệp có mức mã hóa không phù hợp trong quá trình bắt tay TLS 1.3.

Ghi chú phát hành cho biết cơ chế xác thực trong quá trình bắt tay vẫn được giữ nguyên, nên kẻ tấn công không thể thay đổi nội dung hoặc hoàn tất quá trình này. imbl được nâng cấp lên phiên bản 7.0.2. RustSec cảnh báo một số thao tác trong imbl-sized-chunks có thể gặp lỗi giải phóng bộ nhớ hai lần hoặc sử dụng bộ nhớ sau khi giải phóng nếu hàm hủy của một phần tử gây panic trong lúc phần tử đó bị loại bỏ.

Optimism cho biết imbl được sử dụng trong mempool giao dịch. Ghi chú phát hành nêu rõ nội dung sửa hai lỗ hổng, nhưng không cho biết đã xác nhận việc khai thác thực tế trên các chuỗi OP Stack.

Đơn vị hạ tầng QuickNode cũng thông báo riêng ngày 1 tháng 10 về lịch nâng cấp cho các mạng chính và mạng thử nghiệm OP Stack do đơn vị này vận hành. QuickNode cho biết người dùng không cần thực hiện thao tác nào, nhưng việc sử dụng RPC có thể bị gián đoạn trong thời gian bảo trì. Lịch trình này chỉ áp dụng cho hạ tầng QuickNode.