إصلاح برمجي شامل يعزز أمان الحسابات في الشبكة
أعلنت الفرق التطويرية المسؤولة عن شبكة XRPL عن سحب تعديل تفويض الصلاحيات السابق وإطلاق تحديث برمجي جديد تحت مسمى الإصدار V1.1، وذلك عقب اكتشاف ثغرة برمجية عالية الخطورة خلال عمليات الاختبار المتقدمة.
ويهدف التحديث الجديد إلى حماية الحسابات من منح صلاحيات غير قابلة للإلغاء وضمان أمان الخدمات المالية الحديثة على الشبكة.
تفاصيل الثغرة الأمنية في نظام تفويض الصلاحيات
يتيح نظام تفويض الصلاحيات، المعروف برمجياً باسم تعديل XLS-75 في شبكة XRPL، للحسابات منح أطراف أخرى صلاحيات محدودة للتصرف نيابة عنها دون تسليم السيطرة الكاملة على الحساب. وأوضح رئيس الهندسة في شركة RippleX، السيد جي أيو أكينيلي، أن التعديل الأول V1.0 تم سحبه بعد تلقي بلاغ عبر برنامج المكافآت المالية لاكتشاف الثغرات قبل وصوله إلى الشبكة الرئيسية.
وقد اكتشف الباحث الأمني المعروف باسم Shotes ثغرة حرجة تتعلق بتفويضات غير قابلة للإلغاء؛ إذ كان بإمكان الحساب المفوَّض حذف نفسه ثم إعادة إنشائه مع الاحتفاظ بكافة الصلاحيات الممنوحة له سابقاً، دون أن يتمكن الحساب الأصلي من إلغائها أو سحبها.
تحسينات شاملة واختبارات مكثفة للإصدار الجديد
لم تقتصر التحديثات في الإصدار V1.1 على معالجة الخلل المذكور فحسب، بل امتدت لتشمل جوانب أمنية متعددة لضمان استقرار شبكة XRPL:
- منع التفويض غير المقصود للوظائف والقدرات الحديثة مثل ميزات الخزائن (Vaults) والإقراض (Lending).
- تحديث قواعد إلغاء الصلاحيات وإحكام إغلاق مسارات التوقيع المتعدد التي كانت تسمح بتجاوز فحص التفويض.
- تصحيح حاسبة الاحتياطي المالي للمدفوعات المفوَّضة.
- معالجة خلل متوسط الخطورة يتعلق بتجاوز السعة الرقمية في دالة isDelegable لمنع تفسير قيم الصلاحيات بشكل خاطئ.
نتائج اختبارات جودة البرمجيات والجاهزية للنشر
أظهر تقرير ضمان الجودة الذي نشره مهندس الاختبارات رامكومار إس جي في 26 أغسطس إجراء 179 اختباراً مخصصاً لنظام التفويض، شملت 112 اختباراً وظيفياً و48 اختباراً أمنياً هجومياً و19 اختباراً للربط بين الميزات المختلفة. كما شملت الفحوصات التفاعل مع المعاملات المجمعة والرموز المميزة السرية وحجم المعاملات المنتظرة.
وأكد فريق العمليات في شبكة XRPL أن جميع الملاحظات تم معالجتها بالكامل في الإصدار V1.1 والتحقق منها بواسطة شركة تدقيق الأمان Cantina. كما أشار الفريق إلى عدم وجود أي ثغرات داخلية مفتوحة بعد إخضاع النظام لأكثر من 5,088 اختباراً شاملاً، مما يجعله جاهزاً للإطلاق الفعلي.
الجدول الزمني لتطبيق التحديث
مَرّ نظام تفويض الصلاحيات بمراحل عدة منذ إطلاقه لأول مرة في مايو 2025، حيث تم إيقاف الدعم عنه في سبتمبر 2025 بانتظار المعالجة الأمنية، ثم إعادة تسميته إلى PermissionDelegationV1_1 في أكتوبر، وصولاً إلى إعادة دعمه رسمياً في يونيو 2026. وقد رصدت لوحة التحليلات العامة التي طورها المطور دانيس أنجيل مدى اختبار التعديلات على شبكة التطوير قبل وصولها للشبكة الرئيسية.
إرسال تعليق