Phala Network、Phala Cloud顧客に影響するセキュリティの脆弱性に対応

Phala Network（PHA）は、少数の一部のPhala Cloud顧客について、侵入者がコンテナログや環境変数を閲覧できる状態となっていたセキュリティ脆弱性を解決しました。この不正アクセスは、ゲストエージェント（guest-agent）ソフトウェアの欠陥により、10月8日から10月12日の間に発生しました。攻撃者はまた、ホストノード上のネットワーク分離問題を悪用して管理者トークンを取得し、ゲートウェイ証明書の設定を変更しました。

今回の侵害は顧客側のセキュリティ設定ミスではなく、プラットフォームソフトウェアが原因でした。重要な点として、TEEキー、KMSキー、ホストノード、顧客のストレージディスクを含む主要な暗号化コンポーネントは侵害されていません。プラットフォームの修正は10月15日に完全に適用され、影響を受けたユーザーには直接通知が行われ、環境変数に保存されているセキュリティキーをローテーションするようアドバイスされました。このニュースを受けて、PHAトークンは当日4.47%高の0.05028 USDで取引されました。

顧客は11月19日までに、機密仮想マシンを修正済みのOSイメージ（バージョンv0.6.1またはv0.5.12）に更新する必要があります。11月20日に、プラットフォームは未修正のマシンを順次自動アップグレードし、バージョンv0.3.xを実行している古いシステムのサポートを終了します。