Sicherheitshinweis: Secrets in Validator-Logs
Zusammenfassung
Canton Network hat einen Sicherheitshinweis herausgegeben, da sensible Anmeldedaten wie PostgreSQL-Passwörter und Ledger API-Tokens unter bestimmten Bedingungen im Klartext in Validator-Logs erscheinen könnten. Dies tritt auf, wenn zusätzliche DARs über .appDars oder SPLICE_APP_DARS genutzt werden und das Log-Level auf DEBUG steht. Nutzer sollten sofort auf INFO umstellen und Secrets rotieren.
Sicherheitshinweis — Mögliche Offenlegung von Secrets in Validator-Logs
Wir haben ein Problem identifiziert, bei dem sensible Anmeldedaten (wie Ihr PostgreSQL-Passwort und Ledger API-Authentifizierungstoken) im Klartext in die Anwendungsprotokolle des Validators geschrieben werden können. Dies tritt nur unter einer spezifischen Kombination von Bedingungen auf, die unten beschrieben sind.
Wer ist betroffen?
Sie könnten betroffen sein, wenn beide der folgenden Punkte zutreffen:
1. Ihr Validator-Deployment verwendet zusätzliche DARs über die Standard-Splice-Dars hinaus, UND Sie haben diese Dars über den Helm-Wert .appDars ODER durch manuelles Setzen der Umgebungsvariable SPLICE_APP_DARS auf einen Wert ungleich null bereitgestellt. (Das Hochladen zusätzlicher DARs auf anderem Wege macht Sie nicht betroffen.)
2. Das DEBUG-Level-Logging ist für die Validator-App aktiviert.
- Helm-Deployments: DEBUG-Logging ist standardmäßig aktiviert.
- Docker Compose-Deployments: Das Standard-Log-Level wurde in Splice 0.5.10 von DEBUG auf INFO geändert.
Was sollte ich tun?
1. Sofort sicherstellen, dass das Log-Level Ihrer Validator-App auf INFO oder höher eingestellt ist. Dies stoppt jede weitere Offenlegung.
Wenn Sie glauben, dass Ihr Deployment beide oben genannten Bedingungen erfüllte, empfehlen wir, die folgenden Secrets zu rotieren:
- PostgreSQL-Datenbankpasswort
- Ledger API-Authentifizierungstoken
- Alle anderen Secrets, die Sie möglicherweise als Umgebungsvariablen für das Validator-App-Deployment hinzugefügt haben
Fix
Dieses Problem wurde in splice#4230 behoben und wird in der kommenden Version 0.5.14 enthalten sein.
|| @Dev Announcements @Canton Builder ||
