Lighthouse schließt Lücken in Ethereum-Knoten, Details folgen später

Die Ethereum-Software Lighthouse hat mit Version 8.3.3 ein dringendes Sicherheitsupdate veröffentlicht. Betreiber von Beacon Nodes sollen es so schnell wie möglich einspielen. Welche Lücken es schließt, verraten die Entwickler noch nicht, damit Angreifer die Zeit bis zum Update nicht nutzen können.

Lighthouse ist einer von mehreren Konsens-Clients für Ethereum, also der Programme, mit denen Knoten sich auf den Stand der Blockchain einigen. Entwickelt wird es von der australischen Firma Sigma Prime. Wer Ether selbst über einen eigenen Validator stakt, betreibt neben einem solchen Client meist auch einen Ausführungs-Client wie Geth.

Am Montag um 8:12 Uhr MEZ erschien Version 8.3.3 auf GitHub. Die Versionshinweise beginnen mit dem Satz: “Lighthouse v8.3.3 is a high-priority patch release containing security fixes.” Es handle sich also um eine Korrektur mit hoher Priorität, die Sicherheitsfehler behebt. Die Vorgängerversion 8.3.2 war erst am 23. Oktober erschienen.

Die Dringlichkeit gilt nicht für alle Teile gleich. Für den Beacon Node, der mit dem übrigen Netz kommuniziert, stuft Sigma Prime das Update als hoch ein, für Staker wie für Betreiber ohne Validator. Den Validator-Client, der Blöcke vorschlägt und signiert, sollen Staker dagegen im gewöhnlichen Rhythmus aktualisieren. Was “hoch” bedeutet, definiert das Handbuch des Projekts: Solche Updates sollen “as soon as possible (e.g., hours or days)” eingespielt werden, also binnen Stunden oder Tagen.

Zu den Lücken selbst steht in den Versionshinweisen nur, dass Details später folgen. Links zu den Sicherheitsmitteilungen will Sigma Prime nachreichen, sobald die Betreiber Zeit zum Aktualisieren hatten. Eine CVE-Kennung, eine Einstufung des Schweregrads oder einen Hinweis auf Angriffe nennt das Projekt nicht.

Größere Umbauten bringt die Version nicht. Laut den Hinweisen gibt es keine inkompatiblen Änderungen; wer noch Version 8.2 oder älter nutzt, soll vorher die Hinweise zu 8.3.0 lesen.

Für Anleger, die Ether über eine Börse oder einen Staking-Anbieter halten, ändert das Update nichts, solange der Anbieter seine Knoten pflegt.

Dasselbe Vorgehen kennt man von Bitcoin Core, wo die Entwickler Einzelheiten zu Lücken ebenfalls erst mit Abstand zur Korrektur veröffentlichen. Bei Ethereum steht zudem das nächste große Upgrade an, Glamsterdam, das Ende Oktober ins Testnetz Hoodi kommen sollte und für das alle Clients ohnehin neue Versionen brauchen werden.