Radicle reveló dos fallos críticos en el protocolo de red que utilizan sus nodos de colaboración de código entre pares, y advirtió que todas las versiones publicadas hasta ahora están afectadas. El riesgo principal no es la creación de código falsificado: Radicle afirma que las referencias firmadas siguen protegiendo el contenido y las identidades de los repositorios. La preocupación es la exposición de repositorios privados mientras sus datos se trasladan entre nodos.
Radicle reveló fallos críticos en el protocolo de red que afectan a todas las versiones publicadas de su software de colaboración de código entre pares.
El primer fallo deja el tráfico posterior al saludo Noise sin cifrar y sin autenticar. Los ID de repositorio, las direcciones de los pares, la información de gossip y los objetos de Git —incluidos los datos de repositorios privados— pueden ser leídos, por tanto, por cualquier persona que observe la ruta de red. Un segundo informe de investigación confirma que esto afecta a todas las versiones hasta la 1.10.3 y que no se ha publicado ninguna versión corregida.
La revelación afirma que los datos de los repositorios pueden exponerse durante su transmisión y que no hay una versión corregida disponible hasta la versión 1.10.3.
El segundo fallo rompe la autenticación entre pares durante el saludo de conexión, lo que permite a un atacante presentar un ID de nodo que no le pertenece. Por sí sola, la explotación todavía requiere conocer un ID incluido en una lista de permitidos. Los riesgos se acumulan cuando un observador de la ruta lee primero los ID de ambos extremos y después suplanta a uno de ellos para solicitar directamente un repositorio privado.
La respuesta recomendada por Radicle es dejar de usar y sembrar repositorios privados a través de la red hasta que se publique la actualización de seguridad. La empresa indica que se deben considerar filtrados los repositorios privados transmitidos anteriormente, rotar las credenciales o tokens que contenían y pedir a los pares autorizados que también bloqueen esos repositorios. La revelación también advierte de que las VPN y redes superpuestas similares no corrigen el fallo independiente de suplantación.
La solución definitiva reemplazará el transporte actual por iroh, lo que lo hará incompatible a nivel de protocolo y requerirá una versión mayor. Esto crea una disyuntiva operativa: actualizar puede separar los nodos v2 de los pares v1, pero permanecer en una versión afectada deja expuestos los datos privados. No hay una fecha de lanzamiento ni una auditoría técnica proporcionada de forma independiente, por lo que el momento y la integridad de la corrección siguen sin resolverse.