XRPL behebt kritischen Fehler bei Berechtigungsdelegation
Das XRP Ledger (XRPL) hat die Änderung zur Berechtigungsdelegation zurückgezogen, nachdem ein Bug-Bounty-Bericht während der Testphase einen schwerwiegenden Fehler aufgedeckt hatte. Eine verbesserte Version 1.1 hat nun die Sicherheitsüberprüfung und Qualitätssicherungsprüfungen abgeschlossen.
Überarbeitung der Berechtigungsdelegation nach Fehlerbericht
Die Berechtigungsdelegation, bekannt als XLS-75, ermöglicht es einem Konto, einem anderen Konto spezifische Befugnisse zu erteilen, um in seinem Namen zu handeln. Diese Berechtigungen sollen eng gefasst sein und dem Delegierten nicht die vollständige Kontrolle über das Konto geben.
Der Leiter der RippleX-Entwicklung, J. Ayo Akinyele, erklärte, dass die ursprüngliche Implementierung V1.0 zurückgezogen wurde, nachdem eine Sicherheitslücke über das Bug-Bounty-Programm gemeldet wurde, bevor sie das XRPL-Hauptnetz erreichte. Anstatt diese Version zu patchen, führte das Team V1.1 ein, um die ursprüngliche Implementierung von der verbesserten Version zu trennen.
Ein Forscher namens Shotes entdeckte ein schwerwiegendes Problem mit unwiderruflichen Delegiertenberechtigungen, bei dem ein Delegierter sein Konto löschen und später neu erstellen konnte, während er die ihm von einem anderen Konto erteilten Berechtigungen behielt, ohne dass das ursprüngliche Konto diese widerrufen konnte.
Die Änderungen gehen über einen einzelnen Fehler hinaus. V1.1 adressiert Randfälle bezüglich der Identität des Delegierten und verhindert, dass neuere Funktionen, einschließlich Vault- und Kreditoperationen, unbeabsichtigt delegiert werden. Es behebt auch die Reservenbuchhaltung für delegierte Zahlungen und schließt eine Multi-Signatur-Route, die Delegationsprüfungen umgehen könnte. Auch das Widerrufsverhalten wurde verschärft.
Die Überprüfung ergab zudem einen mittleren Schweregrad bei einem Überlauf eines nicht signierten Integers in isDelegable, der es ermöglichen könnte, einen fehlerhaften Berechtigungswert als delegierbaren Transaktionstyp zu interpretieren. Forscher sagten jedoch, dass das Problem ohne Fehlverhalten des Delegators keine wesentlichen Auswirkungen hatte.
Erweiterte Tests der Delegationsoberfläche von XRPL
Ein QA-Bericht von Ramkumar SG vom 26. August verzeichnete 179 spezielle Tests zur Berechtigungsdelegation, darunter 112 Funktionstests, 48 Sicherheitsangriffstests und 19 funktionsübergreifende Tests. Die Tests umfassten auch Interaktionen mit Batch, Confidential MPT, der Transaktionswarteschlange und Multi-Signatur.
XRP Ledger Operations berichtete, dass alle Befunde in V1.1 behoben und von der Sicherheitsfirma Cantina verifiziert wurden. Das QA-Team meldete zudem keine Regressionen in 5.088 Tests und stellte fest, dass es keine offenen internen Fehler gab, die als kritisch eingestuft wurden. Es wurde festgestellt, dass die Funktion auf Produktionsebene einsatzbereit ist.
Die Berechtigungsdelegation wurde im Mai 2025 eingeführt, im September 2025 als nicht unterstützt markiert, um einen Sicherheitsfix zu erhalten, im Oktober in PermissionDelegationV1_1 umbenannt und im Juni 2026 wieder unterstützt.
Für Nutzer und Verwahrungsanbieter bleibt die beabsichtigte Funktionalität unverändert. Wie Akinyele erklärte, ändert V1.1 nicht, was XLS-75 leisten kann, sondern die Bedingungen, unter denen diese Fähigkeit aktiviert wird.
