BTCPay’s API key fix is merged, but its latest release still predates the patch
Кратко:
- 19 октября в BTCPay внесено исправление, которое предотвращает использование общих ключей, охватывающих все магазины, для проверки прав доступа к серверу или учетной записи.
- Доступ ко всему серверу зависит от прав администратора и соответствующих разрешений, в то время как создание ключей требует выполнения отдельных требований.
- По состоянию на 26 октября, версия 2.4.5 оставалась последней выпущенной версией и все еще содержала более ранние проверки прав доступа.
Сделайте CryptoSlate предпочтительным поисковиком в Google
Поделиться
Поделиться в XПоделиться в FacebookПоделиться в TelegramПоделиться в LinkedInПоделиться по электронной почте
Поделиться
[Поделиться в X](https://x.com/intent/tweet?text=Исправление, касающееся API-ключа BTCPay, было внесено, но последняя версия все еще предшествует этому обновлению&via=cryptoslate&url=https%3A%2F%2Fcryptoslate.com%2Fa-btcpay-api-key-limited-to-one-bitcoin-store-could-exceed-its-permissions%2F "Поделиться в X")Поделиться в Facebook[Поделиться в Telegram](https://t.me/share/url?url=https%3A%2F%2Fcryptoslate.com%2Fa-btcpay-api-key-limited-to-one-bitcoin-store-could-exceed-its-permissions%2F&text=Исправление, касающееся API-ключа BTCPay, было внесено, но последняя версия все еще предшествует этому обновлению "Поделиться в Telegram")[Поделиться в LinkedIn](https://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fcryptoslate.com%2Fa-btcpay-api-key-limited-to-one-bitcoin-store-could-exceed-its-permissions%2F&title=Исправление, касающееся API-ключа BTCPay, было внесено, но последняя версия все еще предшествует этому обновлению&source=CryptoSlate "Поделиться в LinkedIn")[Поделиться по электронной почте](mailto:?subject=Исправление, касающееся API-ключа BTCPay, было внесено, но последняя версия все еще предшествует этому обновлению&body=https%3A%2F%2Fcryptoslate.com%2Fa-btcpay-api-key-limited-to-one-bitcoin-store-could-exceed-its-permissions%2F "Поделиться по электронной почте")
BTCPay Server, программное обеспечение для приема платежей в биткоинах, 19 октября внесла исправление, которое устраняет уязвимость, позволяющую API-ключам с широкими правами доступа для одного магазина получать доступ к функциям сервера или всей учетной записи. Для продавцов, передающих такие учетные данные сторонним сервисам, риск заключается в том, что им будет предоставлено больше полномочий, чем предполагалось.
Николя Дори внес PR #7684 в основную ветку разработки проекта. По состоянию на 26 октября, список релизов BTCPay https://github.com/btcpayserver/btcpayserver/releases все еще указывает версию 2.4.5, выпущенную 6 октября, как последнюю.
[ОБНОВЛЕНИЕ: Версия 2.4.6 теперь выпущена, согласно заявлению @BTCPayLite в X.]
Как изменились ограничения доступа
В документации BTCPay https://docs.btcpayserver.org/Developers/api/authentication/ API-ключи описываются как учетные данные для интеграции, ограниченные правами доступа и магазином. Это отдельные ограничения: что приложение может делать и к какому магазину оно может обращаться.
Добавленные тесты регрессии используют ключи с неограниченными правами доступа, применимые только к одному магазину: широкие полномочия для выполнения действий, но с отдельным ограничением на область их применения. Один из тестов проверяет, что администраторскому ключу должен быть запрещен доступ к серверным функциям. Другой тест проверяет, что обычному пользователю должен быть запрещен удаление его учетной записи.
Эти примеры касаются общих разрешений, охватывающих весь магазин. Они не доказывают, что ключ, основанный только на счетах, может предоставить права администратора. Доступ на уровне сервера также зависит от роли администратора, присвоенной владельцу.
Изменение авторизации ограничивает механизм резервного копирования, используемый, когда запрос не имеет определенной области действия: теперь разрешение, полученное от любого магазина, разрешено только для разрешений, связанных с этим магазином. Этот механизм резервного копирования больше не выполняет проверки на уровне всего сервера или на уровне учетной записи. Согласно описанию запроса на внесение изменений, существующие ключи администратора без указания области действия сохраняют свое прежнее поведение.
The Catalyst
Ежедневная рассылка новостей
Будьте в курсе событий в мире криптовалют.
Начните с самых важных новостей. Получите контекст, стоящий за заголовками, и четкое представление о том, что следует ожидать дальше.
Выберите свои рассылки
The Catalyst: Новости и аналитика криптовалют • Ежедневно The Oracle: Тренды на рынках прогнозов • 2 раза в неделю The Shortlist: Обзоры продуктов • Еженедельно
Адрес электронной почты
Подписаться бесплатно
Оставьте это поле пустым
Спасибо за регистрацию.
Спасибо, что подписались на The Catalyst. Ожидайте свое первое ежедневное письмо. Если вы уже получаете его, все в порядке.
Бесплатные рассылки. Отпишитесь в любое время.
Чтобы предотвратить создание более мощных учетных данных в результате авторизованного запроса на создание ключа, исправление также проверяет запрошенные разрешения по отношению к предоставленным вызывающей стороне. Добавленный тест проверяет отказ, если ключ администратора, ограниченный правами на изменение настроек сервера, запрашивает ключ без ограничений и без указания области действия.
Создание ключей по-прежнему требует отдельных условий. Интерфейс самообслуживания требует неограниченных прав без указания области действия магазина; интерфейс, предназначенный для администраторов и ориентированный на конкретного пользователя, требует прав на изменение настроек сервера. Изменение контроллера добавляет проверку того, какие разрешения вызывающая сторона может предоставить после выполнения этих требований.
В открытом запросе на внесение изменений не сообщается о подтвержденных случаях эксплуатации, затронутых продавцах или убытках.
Отмеченные версии 2.4.5 обработчика авторизации и контроллера ключей сохраняют предыдущие проверки, измененные этим запросом на внесение изменений. Первая затронутая версия остается неясной.
Документация BTCPay рекомендует запрашивать только те разрешения, которые действительно необходимы. Трейдеры могут просматривать делегированные ключи, предоставленные для широкого круга операций, и привилегии их владельцев, а затем ограничивать разрешения только тем, что требуются для каждой конкретной интеграции. Следующим важным этапом является выпуск новой версии, включающей исправление, связанное с запросом #7684, после чего необходимо убедиться, что эта версия действительно установлена.
Контекст статьи
Упоминается в этой статье
Сопутствующий материалBitcoin#1BTC·$80,189.54Изменение за 24 часа: снижение на 0.47%Загрузка истории цен…24 часа: снижение на 0.47%7 дней: снижение на 1.98%30 дней: снижение на 4.58%](https://cryptoslate.com/coins/bitcoin/)
Опубликовано в
Bitcoin Главное Технологии Платежи
Информация об авторах
Реклама
Реклама
Контекст
Связанные материалы
Другие материалы
Использование ИИ
CryptoSlate может использовать ИИ для исследований, редактирования и производства контента. Наша журналистика остается под контролем человека, и наша редакторская команда несет ответственность за каждую статью. Ознакомьтесь с нашим отказом от ответственности об использовании ИИ.
Редакционная независимость
Мнения авторов являются их собственными и не отражают позицию CryptoSlate. Публикация материалов не означает одобрение какого-либо проекта или актива, упомянутого или связанного с ним. Ознакомьтесь с нашей редакционной политикой.
Финансовые риски
Данная информация не является инвестиционной рекомендацией. Торговля криптовалютой сопряжена с высоким риском убытков. Проводите собственное исследование; CryptoSlate не несет ответственности за убытки, понесенные в результате торговли. Ознакомьтесь с нашими оговорками.