Polygon Labs 发布 Bor v2.1.3，修复两项并行执行拒绝服务漏洞

Polygon Labs 公告称，Bor v2.1.3 已正式对外公开发布。该版本此前已以私有版本形式分发给验证者及主要基础设施提供商。

修复两项中危拒绝服务漏洞

本次更新修复了 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞，二者均由安全研究人员通过 Immunefi 漏洞赏金计划提交。

第一项问题是无界 keccak256 缓存。攻击者可通过构造特定交易，在投机执行阶段填充数百 MiB 缓存，导致节点内存耗尽，并延迟出块。对应修复方案是为共享缓存设置容量上限。

第二项问题是并行执行中的重复代码哈希计算。单笔交易可导致并行处理器耗时约 11 秒，对节点活性造成严重影响。修复方式为对代码哈希结果进行逐交易缓存。

同时加入多项内部加固

除上述漏洞修复外，Bor v2.1.3 还包含多项内部加固：

• 交易池地址过滤新增对 EIP-7702 SetCode 授权的拦截；
• 修复 RPC 批量执行池并发限制；
• 修复并行执行跨自毁边界余额读取一致性；
• 加入滞留待处理交易自动清理机制，默认时间为 3 小时。

升级方式与影响范围

公告显示，受影响版本为 Bor v2.1.1 和 v2.1.2。Bor v2.1.3 不属于硬分叉，节点可逐个完成升级，无需协调。

Polygon Labs 表示，这两项漏洞在主网及测试网 Amoy 上均未发现被利用记录。