A Besu divulgou em 14 de agosto os detalhes de cinco vulnerabilidades corrigidas na versão 26.7.1, liberada em 27 de julho como atualização de segurança. Segundo o projeto, os problemas foram reportados pela CertiK em um processo coordenado e confidencial até a liberação da correção.
As falhas foram descritas em quatro alertas de segurança e envolviam processamento de anúncios de blocos, armazenamento em buffer de propostas de consenso para alturas futuras, limites de assinaturas via WebSocket e criação ilimitada de filtros JSON-RPC (interface usada para um nó receber comandos e consultas). A CertiK classificou os achados entre gravidade baixa e alta.
Em determinadas configurações, essas vulnerabilidades poderiam consumir memória ou esgotar a capacidade de threads do nó, o que afeta a disponibilidade da operação e, em alguns casos, o processamento do consenso. A empresa de segurança informou que enviou as cinco descobertas diretamente à equipe da Besu com testes de prova de conceito reproduzíveis.
A pesquisa foi feita de forma independente com a metodologia Chain Scan, em uma rede privada de testes da Besu, com falhas controladas nas interfaces peer-to-peer, HTTP RPC, WebSocket RPC e em componentes ligados ao mecanismo de consenso. A Besu afirmou que a divulgação técnica só ocorreu depois que a versão corrigida ficou disponível, para dar tempo de atualização aos operadores.
Para quem roda infraestrutura de blockchain no Brasil, o recado é direto: manter o cliente atualizado reduz o risco de parada do nó e de falhas operacionais em redes públicas ou privadas.
A Besu é um cliente Ethereum de código aberto, baseado em Java, usado na rede principal e em redes de teste como Hoodi, Ephemery e Sepolia, além de ambientes privados corporativos. Nas notas da versão, o projeto atribuiu crédito à e à pelas divulgações responsáveis.
