V12 անվտանգության ընկերությունը x402-ում գտել է երեք խոցելիություն, որոնք կրիտիկական է գնահատել

Անվտանգության ոլորտում գործող V12 ընկերությունը հոկտեմբերի 22-ին բացահայտել է x402 վճարային ծրագրերի երեք խոցելիություն, որոնք գնահատել է որպես կրիտիկական։ Դրանք կարող էին վտանգել ավտոմատ վճարումները, թույլ տալ վճարումը ստուգող ծառայությանն ընդունել գործարք, որով ոչ մի թոքեն չի փոխանցվել, կամ խաբեությամբ ստիպել ծրագրին ստորագրել այլ կայք մուտք գործելու հաղորդագրություն։ Ինչպես հոկտեմբերի 23-ին հայտնել է The Hacker News-ը, x402 Foundation-ը երեքն էլ արդեն շտկել էր օգոստոսի 18-ի թողարկումներում։

Հին թողարկումներից օգտվող մշակողները պետք է ստուգեն իրենց ծրագրային փաթեթների տարբերակները՝ խոցելիությունների մասին ավտոմատ ահազանգերին ապավինելու փոխարեն։ The Hacker News-ի տվյալներով՝ հիմնադրամը երեք խոցելիությունների մասին անվտանգության ծանուցում չի հրապարակել, իսկ փոփոխությունների ցանկերում շտկումները չի նշել որպես անվտանգության շտկումներ։ Լրատվամիջոցի՝ հոկտեմբերի 23-ի ստուգումների ընթացքում npm audit-ը շտկումներին նախորդած վերջին TypeScript թողարկումների համար ծանուցումներ չի վերադարձրել, իսկ PyPI-ում շտկումներին նախորդած վերջին Python թողարկման համար խոցելիություններ նշված չեն եղել։

x402-ը բաց ստանդարտ է, որը ծրագրին թույլ է տալիս հենց վեբ հարցման շրջանակում վճարել հավելվածների ծրագրավորման միջերեսից (API) օգտվելու համար։ Այդ միջերեսով մի ծրագիրը մյուսից տվյալներ կամ ծառայություններ է պահանջում։ Սերվերը վերադարձնում է «402 Payment Required»՝ «Պահանջվում է վճարում» պատասխանը՝ վճարման տարբերակներով, որոնցում նշված են գումարը, թոքենն ու ստացողը։ Հաճախորդային ծրագիրն ընտրում է տարբերակներից մեկը, ստորագրում վճարումը և կրկին ուղարկում հարցումը՝ առանց յուրաքանչյուր վճարման համար մարդու հաստատումը պահանջելու։

Երբ ավտոմատ ստորագրումը կարող էր վտանգել աջակցվող թոքենի ամբողջ մնացորդը

Մինչև շտկումը լռելյայն հաճախորդային ծրագիրն ընտրում էր վճարման առաջին տարբերակը՝ առանց գումարը սահմանափակելու։ V12-ի խոսքով՝ չարամիտ API-ն կարող էր պահանջել դրամապանակում եղած աջակցվող թոքենի ամբողջ մնացորդը։ Հաճախորդային ծրագիրը կարող էր այդ վճարումը ստորագրել միայն այն դեպքում, եթե օգտագործում էր ավտոմատ ստորագրման միջոց, իսկ հավելվածը վճարման կանոններ չէր սահմանել։ Գումարը ստանալու համար նաև անհրաժեշտ էր, որ թոքենն աջակցեր ստորագրված փոխանցումներին։

Օգոստոսի 18-ի թողարկումներում ծախսերի վերահսկման միջոցներ են ավելացվել TypeScript, Python և Go ծրագրային մշակման գործիքակազմերում (SDK)՝ բազմակի օգտագործման կոդում, որը մշակողները ներառում են հավելվածներում։ Լռելյայն կարգավորումներով յուրաքանչյուր վճարումը սահմանափակված է 1 դոլարով, և թույլատրվում են միայն ճանաչված՝ ԱՄՆ դոլարին կապված ստեյբլքոյններ՝ թոքեններ, որոնք նախատեսված են դոլարի արժեքին հետևելու համար։ Հավելվածները կարող են վերահսկման սեփական կանոնները սահմանել, սակայն spendControls: false պարամետրը փոխանցելն անջատում է պաշտպանության այս բոլոր միջոցները։

Տեղային փորձարկման ժամանակ ծախսելու թույլտվությունն ընդունվել է որպես վճարում

x402-ից օգտվող վաճառողն ապավինում է վճարային միջնորդին՝ ծառայության, որը ստուգում է վճարումներն ու դրանք ներկայացնում բլոկչեյնին։ Solana վճարումների դեպքում TypeScript միջնորդը ստուգում էր թոքենի ծրագիրը, բայց չէր ստուգում հրահանգի տեսակը։ Այդ պատճառով այն կարող էր որպես փոխանցում ընդունել թոքեններ ծախսելու թույլտվությունը, որը հետագայում ծախսելու իրավունք է տալիս, բայց ինքնին ոչ մի թոքեն չի տեղափոխում։

V12-ը տեղային փորձարկմամբ ցույց է տվել, որ նման թույլտվությունն ընդունվում է որպես վճարում՝ առանց իրական գործարք ուղարկելու։ Ընկերության խոսքով՝ դրա հետևանքով վաճառողը կարող էր վճարովի ռեսուրս տրամադրել՝ առանց թոքեններ ստանալու։ Հարձակվողին անհրաժեշտ կլիներ թոքենային հաշիվ, բայց ոչ մնացորդ, մինչդեռ գործարքի վճարը կվճարեր միջնորդը։ Python-ն ու Go-ն արդեն ստուգում էին հրահանգի տեսակը․ օգոստոսյան թողարկմամբ այդ ստուգումն ավելացվել է նաև TypeScript-ում։

Դրամապանակով մուտքի համար ևս կայքի ստուգում էր անհրաժեշտ

Sign-In-With-X (SIWx) ընդլայնումը ծրագրին թույլ է տալիս մուտք գործել՝ իր դրամապանակով հաղորդագրություն ստորագրելով, օրինակ՝ նախկին վճարումն ապացուցելու համար։ Ավտոմատացված հաճախորդային ծրագիրը չէր ստուգում՝ արդյոք մուտքի հաղորդագրության մեջ նշված կայքը նույնն է, որին ինքը դիմել էր։

V12-ի խոսքով՝ չարամիտ սերվերը կարող էր հաճախորդային ծրագրին փոխանցել այլ կայքի՝ մուտքի համար նոր ստեղծված հաղորդագրությունը, ապա ստացված ստորագրությունն օգտագործել այդ դրամապանակի անունից մուտք գործելու համար։ Սա կաշխատեր միայն այն դեպքում, եթե նպատակային կայքն ընդուներ փոխանցված հաղորդագրությունը, և կտար միայն այն հասանելիությունը, որը թույլ էր տալիս տվյալ մուտքը։ Օգոստոսի 18-ի TypeScript, Python և Go թողարկումները հրաժարվում են ստորագրել, եթե հաղորդագրության մեջ նշված կայքը չի համընկնում 402 պատասխանն ուղարկած կայքի հետ։

Որ փաթեթները թարմացնել

The Hacker News-ը ստուգել է հրապարակված փաթեթները և պարզել, որ Solana հրահանգի ստուգումը բացակայում է @x402/svm-ի բոլոր թողարկումներում՝ 2.0.0-ից մինչև 2.22.0 ներառյալ, և առկա է 2.23.0-ից սկսած։ Լրատվամիջոցը նշել է թարմացման հետևյալ տարբերակներն ու հոկտեմբերի 23-ի դրությամբ վերջին թողարկումները։

Վերջին թողարկումներին անցնելը ներառում է նաև հետագա շտկումները, այդ թվում՝ սեպտեմբերին @x402/core 2.27.0-ում կատարված՝ վճարումը շրջանցելու մեկ այլ խոցելիության շտկումը։ TypeScript հավելվածները, որոնք ուղղակիորեն կանչում են createSIWxPayload գործառույթը, պետք է փոխանցեն 402 պատասխանի հասցեն՝ բոլոր վերահղումներից հետո։ @x402/fetch և @x402/axios օժանդակ փաթեթները դա փոխանցում են ավտոմատ։